Linux病毒排查思路和详细处理流程

原创 已于 2025-08-10 23:28:05 修改 · 置顶 · 1.1k 阅读 · 18 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#linux #服务器 #运维 #病毒 #后门 #chkrootkit #rkhunter

于 2025-08-10 23:23:16 首次发布

目录

1. 排查思路

1.1 top查看

1.2 定位恶意程序

1.3 后门检查

1.4 处理恢复

2. 工具准备

2.1 chkrootkit

2.1.1 安装方式

2.1.2 基本使用方法

2.1.2.1 执行完整扫描

2.1.2.2 保存扫描结果到文件

2.1.2.3 静默模式（仅显示警告）

2.1.2.4 排除误报目录（如容器目录）

2.2 rkhunter

2.3 ClamAV 

2.4 lynis

2.5 busybox

3. 信息收集

3.1 chkrootkit检测当前环境

3.2 进程检查

3.3 开机启动项检查

3.4 定时任务检查

3.5 隐藏进程检查

3.6 异常网络连接检查

3.7 账户检查

3.8 敏感目录检查

3.9 历史命令检查

3.10 文件完整性检查

3.11 系统日志检查

3.12 动态库检查

3.13 SSH异常秘钥检查

4. 总结流程

1. 排查思路

1.1 top查看

top定位异常高资源占用进程，记录对应的进程ID，即PID。

1.2 定位恶意程序

ps –ef | grep PID    #查看恶意进程信息

ll  /proc/pid/exe    #根据pid查看进程可执行程序，定位可疑程序

netstat –anp | grep  PID  #通过进程pid查看此进程网络状态

若存在建立远程连接的IP，可通过威胁情报中心进行搜索IP，确认此IP是否为恶意地址。

1.3 后门检查

启动项

定时任务

用户检查

系统日志

1.4 处理恢复

2. 工具准备

2.1 chkrootkit

2.1.1 安装方式

# 安装编译依赖
sudo yum install -y gcc gcc-c++ make glibc-static  
# 下载源码
cd /usr/local/src/
wget ftp://ftp.chkrootkit.org/pub/seg/pac/chkrootkit.tar.gz
# 解压并编译
tar zxvf chkrootkit.tar.gz
cd chkrootkit-*
make sense
# 部署到系统目录
sudo cp -r chkrootkit-* /usr/local/chkrootkit
# 运行扫描
/usr/local/chkrootkit/chkrootkit

2.1.2 基本使用方法

2.1.2.1 执行完整扫描
sudo chkrootkit   #扫描所有已知 rootkit，结果输出到终端
2.1.2.2 保存扫描结果到文件
sudo chkrootkit | tee /var/log/chkrootkit_scan_$(date +%F).log
2.1.2.3 静默模式（仅显示警告）
sudo chkrootkit -q
2.1.2.4 排除误报目录（如容器目录）
sudo chkrootkit -r / -x /var/lib/docker -x /var/lib/lxc

2.2 rkhunter

# Ubuntu/Debian
sudo apt update
sudo apt install rkhunter
sudo rkhunter --checkall --enable all --disable none

# CentOS/RHEL
sudo yum install epel-release
sudo yum install rkhunter
sudo rkhunter --checkall

2.3 ClamAV 

# CentOS/RHEL
sudo yum install epel-release
sudo yum install clamav
sudo freshclam        # 更新病毒库
sudo clamscan -r /    # 全盘扫描

2.4 lynis

系统审计工具，可检测已知漏洞

# 安装（Debian/Ubuntu）
sudo apt install lynis

# 安装（CentOS/RHEL）
sudo yum install lynis

# 执行系统审计（重点关注"Warnings"和"Suggestions"）
sudo lynis audit system

2.5 busybox

BusyBox 是一款集成了多种常用 Unix/Linux 命令的轻量级工具，被广泛用于嵌入式系统、Android 设备开发与资源受限环境。之所以需要这个工具是因为系统原生的命令可能已经被攻击者替换。

官网下载（推荐）

  • 地址：https://busybox.net/downloads/

  • 提供最新源码（如 busybox-1.37.0.tar.bz2）和预编译二进制文件（如 busybox-x86_64）28。

  • 预编译安装步骤：

wget https://busybox.net/downloads/binaries/1.28.1/busybox-x86_64
sudo cp busybox-x86_64 /usr/local/bin/busybox
sudo chmod +x /usr/local/bin/busybox

3. 信息收集

3.1 chkrootkit检测当前环境

sudo chkrootkit | tee /var/log/chkrootkit_scan_$(date +%F).log

如果检测命令异常，后续操作,均以busybox+命令替代，例如

busybox   ps  -ef  |   grep  PID

3.2 进程检查

# 查找高CPU占用进程
ps aux | sort -k3,3 -nr | head -n 10

# 查找隐藏文件（如以 `..` 开头）
find /tmp -name "..*" -print

# 查找SUID权限文件（可能被劫持）
find / -perm -4000 -user root -ls

# 查找大文件（可能为挖矿脚本）
find / -size +10000k -print

3.3 开机启动项检查

# CentOS 7+/Ubuntu 16.04+
systemctl list-unit-files --type=service

# CentOS 6及以下
chkconfig --list

# 检查 /etc/rc.local
cat /etc/rc.d/rc.local

3.4 定时任务检查

crontab -l          # 当前用户的定时任务
ls -la /etc/cron*   # 系统级定时任务（如cron.d、cron.hourly）

/etc/crontab
/etc/cron.d/*
/etc/cron.daily/*
/etc/cron.hourly/*
/etc/cron.monthly/*
/etc/cron.weekly/
/etc/anacrontab
/var/spool/cron/*
/var/spool/anacron/*

3.5 隐藏进程检查

# 使用 `sysdig` 或 `ltrace` 检测隐藏进程（需安装）
sysdig -c topprocs_cpu

3.6 异常网络连接检查

用 netstat -tulnp 或 ss -tulnp 查看所有 TCP/UDP 连接及对应进程，关注：陌生 IP: 端口（如连接36.xxx.xxx.xxx:8888等非业务端口）；状态为ESTABLISHED（已建立）的未知进程连接；异常监听端口（如非预期进程监听80、443、22等端口）。

netstat -antp | grep ESTABLISHED  # 查看已建立的连接
ss -antp                          # 更高效的替代工具
lsof -i :<PORT>                   # 查看占用指定端口的进程
  • 对可疑 IP，用 whois（yum  -y install whois） 可疑IP 查看归属地（如位于高风险地区需警惕）；
  • 用 tcpdump -i eth0 host 可疑IP 抓包分析通信内容（可能包含恶意指令或数据回传）。

    3.7 账户检查

    # 查看所有用户
cat /etc/passwd（关注是否有陌生用户，尤其是UID=0的超级用户）；
# 查看用户密码哈希
cat /etc/shadow（若发现陌生用户的密码字段非*或!，说明其可登录）；
# 检查 sudo 权限
cat /etc/sudoers 及 /etc/sudoers.d/ 下的文件，是否有陌生用户被授予sudo权限。
    # 列出UID=0的超级用户（除root外不应有其他用户）
grep ":0:" /etc/passwd

# 检查是否有用户使用空密码（密码字段为*或!表示不可登录）
grep -E '^[^:]+::' /etc/shadow
    # 查看最近登录的用户（检测陌生IP登录）
last | head -20

# 查看所有用户的登录状态（包括未登录用户）
lastlog

# 检查是否有隐藏用户（用户名含特殊字符，如空格）
cat /etc/passwd | awk -F: '$3<1000 {print $1,$3}'  # 系统用户通常UID<1000

# 统计失败登录的 IP
grep "Failed password" /var/log/auth.log | awk '{print $11}' | sort | uniq -c | sort -nr；

    3.8 敏感目录检查

    • 临时目录：/tmp、/var/tmp、/dev/shm（权限较松，常被恶意程序利用），用 ls -la /tmp 查看是否有陌生可执行文件（权限含x）；
    • 系统目录：/bin/、/sbin/、/usr/bin/、/usr/sbin/，检查是否有新增的陌生程序（如minerd、kdevtmpfsi等挖矿程序）；
    • 用户目录：/home/用户名/ 下的隐藏文件（如.bashrc、.profile、.ssh/）是否被篡改（可能植入恶意命令，如登录时自动启动病毒）；

    3.9 历史命令检查

    # cat ~/.bash_history

    3.10 文件完整性检查

    • 对比系统文件哈希值与原始备份（若有），或用系统工具检查：
      • RPM 系（CentOS/RHEL）：rpm -V 包名（如rpm -V coreutils检查/bin/ls等文件是否被篡改）；
      • Debian 系（Ubuntu）：dpkg -V 包名（如dpkg -V openssh-server检查 SSH 相关文件）

    3.11 系统日志检查

    /var/log/cron 记录了系统定时任务相关的日志
/var/log/cups 记录打印信息的日志
/var/log/dmesg 记录了系统在开机时内核自检的信息
/var/log/mailog 记录邮件信息
/var/log/message 记录系统重要信息的日志
/var/log/btmp 记录错误登录日志。 要使用lastb命令查看
/var/log/lastlog 记录系统所有用户最后一次登录时间的日志。使用lastlog命令查看
/var/log/wtmp 永久记录所有用户的登录、注销信息，同时记录系统的启动、重启、关机事件。 要使用last命令查看
/var/log/utmp 记录当前已经登录的用户信息。
/var/log/secure 记录验证和授权方面的信息，比如SSH登录，su切换用户，sudo授权

    # 查看SSH登录失败记录（暴力破解尝试）
grep "Failed password" /var/log/auth.log  # Debian/Ubuntu
grep "Failed password" /var/log/secure    # CentOS/RHEL

# 统计攻击IP（按失败次数排序）
grep "Failed password" /var/log/auth.log | awk '{print $11}' | sort | uniq -c | sort -nr

# 查看系统错误日志（可能包含漏洞利用痕迹）
grep -i "error\|warning" /var/log/syslog  # Debian/Ubuntu
grep -i "error\|warning" /var/log/messages  # CentOS/RHEL

    3.12 动态库检查

    排查动态库劫持情况
# echo $LD_PRELOAD
# cat /etc/ld.so.preload

    3.13 SSH异常秘钥检查

    # 进入目录下查看是否有异常公钥
cd  /root/.ssh

    4. 总结流程

    • 系统层面：用lynis、rkhunter扫描整体漏洞，检查补丁更新；
    • 权限层面：排查特权用户、sudo 配置、异常登录；
    • 网络层面：检查开放端口、防火墙规则、异常连接；
    • 文件层面：查找危险权限文件、恶意程序、异常定时任务；
    • 应用层面：检查 Web 服务、数据库的版本和配置漏洞；
    • 日志层面：分析登录日志和系统日志，追溯入侵痕迹。

    岚叔运维
    关注
    Linux服务器感染病毒，如何处理？
    qq_24442273的博客
    11-19 1222
    最近在做性能测试时，发现一台服务器的性能很差，一排查才发现原来是中了挖矿病毒，通常来说，服务器中病毒后，最快速的处理方式就是重装系统，但对于运行着重要业务的系统来说，重装系统较为麻烦。本文主要介绍Linux服务器上挖矿病毒的排查和查杀过程。
    Linux入侵排查
    m0_72286569的博客
    07-14 1809
    当企业发生黑客入侵、系统崩溃或其它影响业务正常运行的安全事件时，急需第一时间进行处理，使企业的网络信息系统在最短时间内恢复正常工作，进一步查找入侵来源，还原入侵事故过程，同时给出解决方案与防范措施，为企业挽回或减少经济损失。针对常见的攻击事件，结合工作中应急响应事件分析和解决的方法，总结了一些 Linux 服务器入侵排查的思路。
    LINUX系统病毒查杀及木马病毒服务手动删除
    08-19
    LINUX系统病毒查杀及木马病毒服务手动删除,网管必备。
    恶意进程排查
    最新发布
    Fisher
    10-14 301
    把这个命令清单保存下来，下次遇到类似的Linux应急响应或权限提升题目时，按照用户->进程->网络->服务->文件->日志的顺序进行排查，就能系统地找到突破口。原文链接：https://blog.youkuaiyun.com/qq_36438489/article/details/151905689。通过ps -ef发现了一个systemd-helper，再尝试了下，发现环境里可以使用lsof，发现systemd-helper其实就是frps，接下来就是kill。探索ctf用户可以使用的特权命令都有哪些。
    linux系统入侵排查
    03-29
    描述了ddos,ssh爆破，挖坑，勒索病毒在Linux上的入侵排查思路以及方法
    Linux挖矿病毒排查(通过redis入侵服务器原理)
    程序员阿飘 的博客
    01-11 1765
    3.将公钥写入目标机器的authorized_keys 文件* cat foo | redis-cli -h 12.34.56.78 -x set crackit* redis-cli -h 12.34.56.78* config set dir /root/.ssh/* config get dir* config set dbfilename "authorized_keys"执行程序在/tmp下2.find / -name qW3xT.4, find / -name ddgs.3016;
    linux服务器排查病毒纪实
    weixin_30243533的博客
    09-14 624
    1. 前言 昨天邮件收到如下图所示： 啊，天啊，对于一个做前端开发的人来说，对服务器端的知识只略懂一二啊，黑客就知道欺负小白，入侵我的服务器。 一开始我是束手无策的，根本无从所知病毒在哪，黑客怎么入侵我的服务器。接下来，让我们一步步来排查吧，先看看如何判断 Linux 服务器是否被入侵？ 2. 判断Linux 服务器是否被入侵 所谓的服务器被入侵或者说被黑了的意思，是指未经授权的人或程序为了自己的...
    linux和windows木马排查思路
    qq_40770143的博客
    10-23 2566
    一般常见的黑客入侵途径 1、主机远程连接端口暴露在互联网并存在弱口令，被黑客暴力破解后获取主机权限。 2、主机部署数据库后连接端口暴露互联网，数据库账号弱口令，被黑客入侵数据后提权获取主机权限。 3、部署业务存在应用漏洞，被黑客利用植入webshell，控制主机。 一、windows系统排查木马处理流程： 1、procexp.exe 开启virtual在线查杀,发现木马进程。 2、procexp....
    Linux应急响应思路和技巧（二）：文件分析篇
    WangsuSecurity的博客
    10-22 1587
    Linux系统一切皆文件，攻击本身与系统的交互也离不开文件，凭据访问、持久化、防御绕过、恶意样本落盘、提权等攻击阶段都会涉及到文件。
    Windows以及Linux的入侵排查
    qq_60600840的博客
    06-03 957
    对于系统或者应用发生了安全事件之后的处理应急响应的处理分为事前和事后处理数据备份、风险评估、安全培训、应急演练等病毒检测、后门检测、系统恢复、清除病毒以及后门程序、调查与追踪、入侵者取证等。后门查杀
    应急响应场景及排查思路
    aihua002的博客
    06-19 954
    正向连接即为本地监听端口，这种情况下多数为 4 位数或以下的端口号，且因为监听端口号是人为设定所以端口号有序，例如 1234、 5555、888、666、6666、7788、99、123 等。通常来讲，反弹 shell 的链接是长时间的连接，可以每间隔 60 秒查看一次，如果连续 2-3 次查看后依旧保持连接状态，则可判定为长期连接，需要重点关注。通过端口排查我们所发现的异常端口，可以通过排查进程进行详细确认，排查进程应养成习惯，无论是否找到异常端口对应的进程，都应该对所有的进程进行查看。
    linux系统安全排查以及朔源应急响应技巧
    it知识分享 free for nothing..
    09-13 593
    linux系统安全排查以及朔源应急响应技巧
    Linux系统能够中出现了病毒，应该如何处理？
    一亩三分地
    12-20 6946
    解决方法： 找到病毒文件并将其删除；中毒之后的机器会出现CPU、内存使用率会比较高，不断向外发包等异常情况。 排查方法： Linux服务器流量剧增，使用iftop查看是否有外网连接的情况 netstat 查看连接外网的ip和端口是否有问题 top找到CPU使用率高的进程，一般病毒文件命名会比较乱 ps  aux 查看是否有不明进程，找出病毒文件的位置 rm -f  删除病毒文
    linux中病毒排查步骤,linux系统下病毒排除思路
    weixin_39582724的博客
    05-14 3375
    1、top查看是否有特别吃cpu和内存的进程，病毒进程kill是杀不死的，因为ps命令被修改2、ls -la/proc/病毒进程pid/ pwd为病毒进程程序目录 一般在/usr/bin下3、/bin/ps,/bin/netsta程序都是1.2M的大小，显然被人掉包 ps 改成了ips4、进入/usr/bin下 ls -lart 查看最近被修改的程序 .25unix为守护进程5、杀死守护进...
    【Linux】中病毒了怎么办？
    小白鸽i的博客
    03-23 911
    【Linux】中病毒了怎么办？
    Linux系统中病毒怎么解决
    qq_38954700的博客
    04-28 1885
    1）最简单有效的方法就是重装系统 2）要查的话就是找到病毒文件然后删除 中毒之后一般机器cpu、内存使用率会比较高 机器向外发包等异常情况，排查方法简单介绍下 top 命令找到cpu使用率最高的进程 一般病毒文件命名都比较乱，可以用 ps aux 找到病毒文件位置 rm -f命令删除病毒文件 检查计划任务、开机启动项和病毒文件目录有无其他可以文件等 3）由于即使删除病毒文件不排除有潜伏病毒，所以最好是把机器备份数据之后重装一下 ...
    评论
    添加红包

    请填写红包祝福语或标题

    个

    红包个数最小为10个

    元

    红包金额最低5元

    当前余额3.43元 前往充值 >
    需支付：10.00元
    成就一亿技术人!
    领取后你会自动成为博主和红包主的粉丝 规则
    hope_wisdom
    发出的红包
    实付元
    使用余额支付
    点击重新获取
    扫码支付
    钱包余额 0

    抵扣说明：

    1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
    2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

    余额充值