张大哥笔记：服务器有挖矿木马程序，该如何处理？

这篇文章发表于2021年，今天借这个平台再发布一下，希望对大家有所帮助！

今天收到一个粉丝求助，说收到了阿里云官方短信通知提示有挖矿程序，要求立即整改，否则会关停服务器，以下是我和他的对话内容：

很明显服务器被植入挖矿程序，造成系统资源大量消耗；但我问过后才得知他的服务器上并没有运行大量的网站，只是一个简单的展示网站，怎么可能会出现CPU%90以上的告警，我分析应该是网站程序被植入了挖矿代码从而导致服务器被黑，中了挖矿木马，服务器含有挖矿进程，一直在不停的挖矿才导致CPU这么高。下面两张图是粉丝发我的截图：

首先我们先来了解一下什么是挖矿：

挖矿是跟区块链以及虚拟币有关系，虚拟币是挖矿挖出来的，每间隔一段时间，比特币或者以太坊虚拟币就会在他们的区块链系统上生成一个块的随机代码，网络上的所有服务器都可以去找这个随机代码，也就是挖矿的过程对这个随机代码进行挖掘，谁挖到这个代码就会产生一个区块链的块，那么比特币跟以太坊就会奖励找到随机代码的人，奖励一定数量的虚拟币，那么挖矿的人就会有动力去挖矿，去维护整个区块链节点的网络正常运行，挖矿需要计算哈希值需要服务器的处理能力，所以有些攻击者利用入侵别人服务器来给自己挖矿获取利润。

挖矿处理解决方法：

1.立即检查服务器网站程序和数据库，即刻清理删除，然后重启服务器，检查是否依然存在 CPU%90以上的告警负载超高情况，如果还是这样，建议重装服务器，以绝后患！下图为粉丝删除网站程序后恢复后的运行情况：

2.对服务器的安全要定时的安全检查，检查服务器的系统是否有linux定时任务，以及服务器重启动后会不会自动加载启动项，对于服务器的连接进行阿里云安全组策略，对特殊端口进行单独的放行，比如服务器的SSH端口，管理员要登录的时候先放行IP，才能登录到服务器。对服务器的漏洞进行修复，检查服务器为何被上传木马文件，是通过系统漏洞，还是网站漏洞进行的入侵。