删除linux隐藏进程的简单记录

这今天遇到了一个问题，服务器的cpu有2个核被占满了，应该是被植入挖矿程序。

说一下我的解决方法。

步骤：

    1、首先使用top或者btop之类的查看，发现cpu运行异常，但是没有找到占用cpu异常的进程，说明有隐藏进程。
    
    2、使用sysdig，unhide之类的找到隐藏的进程，结果是能够显示占用的cpu比值的。这样就找到了问题进程的id。
    
    3、然后找到进程id的文件位置 cat /proc/进程/environ
    
    4、进入进程文件的位置，修改文件。然后保护起来，避免删了会重新创建，关了会重新启动。
        kill 1300290 ;sleep 1; echo xx > rcu_devac;chattr +i rcu_devac
    
    另外，一个外部入侵总要经过网络，狐狸尾巴也终究会露出来，不然潜伏那么深干嘛。

•     使用netstat -anpt找到意外的网络连接，验证与非法的长连接。
•     使用netstat -tunlp或者lsof找到进程，能找到自然好，找不到再去安装sysdig或者unhide。

    当然这只是一种简陋的处理方法，再遇到也只能见招拆招了。