服务器被入侵矿机，核心对策是：立即隔离网络、定位并清除挖矿进程、回滚被篡改的配置、修复入侵漏洞，最后重建安全基线。挖矿程序通常不会主动破坏数据，但它会耗尽CPU和带宽，让业务卡顿甚至停机，下面按实战顺序,讲清楚每一步怎么做。
服务器被入侵矿机？先断网再排查
发现CPU飙高或带宽异常时，别急着杀毒，挖矿程序往往自带多种自保机制，一发现被查杀就会横向移动或加密自身，正确的第一步是物理断网拔掉网线、关闭外网防火墙规则，或通过云控制台停机，这样做的目的是切断矿池通信，让控制端无法下发新指令,同时保留现场供分析。
如何判断服务器是否被挖矿程序入侵？
除了CPU占用率飙升,还有几个常见信号：
- 系统响应变慢，运行
top能看到陌生进程占满多核CPU - 网络连接异常，
netstat -antlp发现大量发往外网的TCP连接 - 出现新用户、新定时任务，
/etc/crontab或/var/spool/cron里有不明条目 - 系统日志被清空或停止写入
- 安全软件报警，或云平台发来恶意挖矿检测通知
如果同时出现以上两三条，基本可以断定服务器被挖矿程序入侵，这时候不要犹豫,立刻隔离。
如何清除挖矿程序并修复漏洞？分步实操指南
清除挖矿不能只杀进程，很多入侵者会在系统里留下多重后门，杀一次重启又复活，必须按“进程文件持久化漏洞”的顺序来。
第一步：定位恶意进程与文件
断网状态下，用top按CPU排序，记录PID和进程名，然后通过ll /proc/PID/exe找到可执行文件路径，用cat /proc/PID/cmdline查看启动参数，挖矿程序通常伪装成python、httpd、kworker等名称，但路径可疑，比如/tmp、/var/tmp、/dev/shm。
接着排查网络连接：ss -antp 查看所有外联地址，矿池IP往往集中在特定端口（如4444、5555、3333），将这些可疑IP和进程绑定关系记录下来,用于溯源。
第二步：终止进程并删除文件
确认恶意PID后，先劫持进程再杀掉,避免自删和被拉起：
kill -STOP 恶意PID
ls -lh /proc/PID/exe
# 然后删除文件
rm -f /proc/PID/exe路径
kill -KILL 恶意PID删除文件前，建议先cp到备份目录做样本留存，后续可用于分析入侵方式，同时清理掉动态库注入文件，检查/etc/ld.so.preload和~/.bashrc是否有异常加载项。
第三步：清理持久化与后门
挖矿程序为了开机自启,常见藏身处包括：
~/.ssh/authorized_keys添加攻击者公钥/etc/cron.d/、/var/spool/cron/定时任务systemd服务，如/etc/systemd/system/下的恶意unit文件rc.local、/etc/profile、/etc/init.d/- Web后门，如
webshell文件嵌入到站点目录
逐一打开这些文件，删除与入侵相关的条目，注意别把正常业务配置误删，清理完执行chattr +i锁定关键目录，比如/etc/crontab、/root/.ssh,防止再次被写入。
修复漏洞：防止二次入侵
清除程序只是治标，如果不修复漏洞，攻击者随时能再进来，多数挖矿入侵源于弱口令和未打的补丁，而不是零日漏洞,所以重点要放在以下几处。
重点排查SSH弱口令与未授权访问
挖矿蠕虫最喜欢暴力破解SSH，检查/var/log/secure或/var/log/auth.log，看有没有大量失败的登录尝试，如果发现来自陌生IP的登录记录，第一时间修改所有账户密码，禁用root直接登录，改用密钥对认证，在/etc/ssh/sshd_config中设置PermitRootLogin no和PasswordAuthentication no,然后重启sshd服务。
同时检查Web服务：Nginx/Apache的访问日志里，有没有eval、base64_decode参数，这些可能是webshell利用的痕迹，建议用find扫描近期被修改的PHP文件，查找含system(、exec(等危险函数的代码。
补丁更新与安全配置
通过yum check-update或apt list --upgradable查看待更新包，内核和Web组件优先升级，对于云服务器，安全组规则也要收紧：只放行业务所需端口,将管理端口限定在特定IP下。
行业共识认为：安全加固不是一次性动作，而是持续过程，清除后建议在防火墙层封禁矿池IP段，并部署临时监控脚本，观察一星期内是否还有异常进程产生，及时备份数据并保留至少一个离线快照,万一复发可以快速回滚。
云服务器被挖矿如何排查？从流量和日志找线索
如果你的业务跑在简米云、酷番云或AWS上，除了直接在系统内查，还可以借助云平台的安全中心查看“挖矿事件告警”，这些告警里通常标注了攻击源IP和矿池地址,能帮你快速定位是不是同一批入侵者。
流量异常分析
云控制台的“网络流量监控”里，如果看到持续的上行流量大于下行流量，且目标IP为境外，功耗曲线像心跳一样平稳，那大概率是矿机在周期性地提交算力，这时候立即创建防火墙规则，拒绝所有出站到矿池IP的流量,再进行系统清理。
登录日志审计
登录日志是最直接的证据。last和lastb能显示成功/失败登录记录，重点看非业务时段的成功登录，尤其是从陌生IP用非root用户登录的，一旦发现，该用户可能已被提权，检查/etc/passwd里UID为0的非root用户，awk -F: '$3==0' /etc/passwd,有异常就删除。
服务器挖矿病毒清除费用与自处理对比
很多人会问：把服务器交给安全公司处理要多少钱？近年来市面上的单次应急响应服务，价格从几百到数千元不等，取决于是否需要溯源和报告，自处理则几乎零成本,但需要你有足够的耐心和Linux基础。
看这份对比：
| 处理方式 | 费用范围 | 耗时 | 效果 |
|---|---|---|---|
| 自处理（按本文步骤） | 0元 | 3~6小时 | 能清掉大多数矿机，但容易遗漏后门 |
| 安全公司应急响应 | 数百~数千元 | 1~2小时 | 更深层溯源，输出加固报告 |
| 重装系统+手动加固 | 0元，但有业务迁移成本 | 1小时+ | 最彻底，但需重建环境 |
如果业务无状态且数据可快速重建，重装系统是最快的方法，但有状态数据库或复杂应用环境，建议先尝试自处理，同时做好快照，无论哪种方式,都要在修复后做一次全盘安全扫描。
服务器被入侵矿机后，数据会不会丢失？常见问题解答
Q：挖矿程序会删除我的网站数据吗？
大多数矿马程序只消耗CPU资源，不改动业务文件，但它们有可能会修改系统动态库或替换SSH公钥，少数蠕虫会加密文件勒索，清除时看清楚行为日志，不要手动删除可疑目录里看起来像系统文件的路径，如果数据已经损坏,直接从备份恢复。
Q：清除挖矿程序后，下次还会不会被入侵？
只要漏洞没补，攻击者可以再次利用同一入口进来，你必须修改所有密码、升级SSH版本、补上Web中间件的漏洞，并检查是否留下其他后门，如果确认无法彻底修复，最稳妥的做法是迁移业务到新服务器,并启用密钥登录。
Q：如何确认服务器没有被挖矿程序入侵？
定期检查top和ss -antp，留意CPU空闲率和外联IP，最有效的办法是配置云监控告警，设置CPU使用率超过80%持续十分钟就通知你，每个月手动翻一遍定时任务和SSH公钥,会比你想象中更有用。
最终记住：服务器被入侵矿机，比拼速度更重要的是拼恢复流程，断网、取证、清马、补漏、加固，一步都不能少，之后保持安全习惯,才能让挖矿者无处下手。