查看文件、进程创建信息

要确定进程、文件生成的原因以及如何创建的，可以通过多种方法进行调查。以下是详细的步骤：

1. 查看进程的信息

使用 ps 命令

查看进程的详细信息，包括命令行参数：

ps -fp <PID>

例如，对于 code-d78a74bcdf 进程：

ps -fp 1104025
ps -fp 2886459

这将显示进程的所有者、父进程ID以及其他相关信息。

使用 cat /proc/<PID>/cmdline

查看进程启动时的命令行参数：

cat /proc/1104025/cmdline
cat /proc/2886459/cmdline

使用 strace

跟踪进程的系统调用，以查看它是如何创建文件的：

strace -p 1104025 -ttt
strace -p 2886459 -ttt

这将显示进程所做的系统调用，可以帮助你了解它是如何创建文件或执行其他操作的。

2. 查看文件的信息

使用 ls -l

查看文件的权限和拥有者：

ls -l /path/to/suspicious/file

使用 find

查找文件创建的时间：

find /path/to/directory -type f -ctime -1

这将列出过去一天内创建的所有文件。

使用 stat

查看文件的详细状态信息，包括创建时间、访问时间等：

stat /path/to/suspicious/file

3. 监控文件系统活动

使用 inotifywait

实时监控文件系统的更改：

sudo inotifywait -m -e create /tmp

这将显示 /tmp 目录下文件的创建情况。

使用 auditd

审计系统活动，记录文件系统更改：

sudo auditctl -w /tmp -p wa -k tmp_create

这将在 /tmp 目录上设置审计规则，记录写入和访问操作。

查看审计日志：

ausearch -k tmp_create

4. 检查计划任务

查看 crontab

检查是否有定时任务创建可疑文件：

crontab -l
sudo crontab -l

查看 /etc/cron.* 文件

检查系统范围内的定时任务：

cat /etc/cron.* | grep -iE 'mining|crypto|miner|\.cfg'

查看 systemd 服务

检查是否有可疑的服务或定时任务：

ls /etc/systemd/system/ | grep -iE 'mining|crypto|miner|\.cfg'

查看服务的详细信息：

cat /etc/systemd/system/<service>.service

5. 检查日志文件

查看系统日志

查看系统日志，查找可疑活动的记录：

cat /var/log/syslog | grep -iE 'mining|crypto|miner|\.cfg'
cat /var/log/auth.log | grep -iE 'mining|crypto|miner|\.cfg'

查看应用日志

查看应用程序的日志文件，如 nginx、sshd 等：

cat /var/log/nginx/access.log | grep -iE 'mining|crypto|miner|\.cfg'
cat /var/log/auth.log | grep -iE 'mining|crypto|miner|\.cfg'

6. 使用安全工具扫描系统

安装并运行安全工具

使用防病毒软件或其他安全工具扫描系统：

sudo clamscan -r /

综合分析

通过上述方法，你可以逐步排查可疑进程和文件是如何生成的，并确定其来源。如果发现可疑进程或文件是由恶意软件生成的，可以按照之前提到的方法进行清理，并采取必要的防护措施，防止未来再次发生类似的情况。

如果你需要进一步的帮助或具体的命令示例，请告诉我。