服务器会中挖矿木马？弱口令未修复漏洞是主因

服务器中挖矿木马，根源是安全配置存在缺口，黑客利用漏洞或弱口令植入，再通过计划任务、Rootkit隐藏进程持续占用CPU挖矿，直到你发现服务器卡顿、电费飙升或安全告警。

服务器最容易中挖矿木马的几个场景

云服务器公网暴露和弱口令是最常见入口

很多站长图省事,把SSH端口直接暴露在公网，密码设成admin123、123456这类弱口令，黑客用扫描工具批量扫全网IP，半小时就能爆破几十台机器，一旦登入，先关掉你的安全软件，再下载挖矿程序，一气呵成。

这类入侵在简米云、酷番云这类云服务器上尤其高发。据行业共识，公网直接开放的Linux服务器，如果SSH端口使用弱密码，被入侵只是时间问题，防护上至少做到两点：改默认端口、禁用密码登录改用密钥。

未打补丁的中间件漏洞被批量利用

比弱口令更隐蔽的是中间件漏洞,常见的比如Apache Log4j2的远程代码执行、Weblogic反序列化、Nginx配置错误、Redis未授权访问，黑客扫描到特定版本组件，直接一个请求打进服务器，不需要任何密码就能执行命令。

有的服务器管理员一年半载都不更新一次系统包,尤其是旧的PHP、Java环境，等到中招了再查日志，发现漏洞公告早就发了好几个月。业内人士指出，相当一部分挖矿木马入侵事件，利用的都是公开已知但未修补的漏洞。

第三方软件供应链和下载站捆绑

你从非官方渠道下载安装包、破解工具、绿色软件，里面可能就藏了挖矿模块，比如某些盗版IDEA、Xshell老版本，装完系统CPU直接跑满，这类恶意代码伪装成正常服务，注册成systemd服务或Windows计划任务，非常难清理。

如何判断服务器是否已经中挖矿木马

CPU和内存异常飙升，怎么查

最直观的现象是服务器卡得像幻灯片,用

top命令看进程列表，发现一个陌生进程占用几百个百分比CPU，名字可能叫kworkerds、xmrig、sysupdate或者一串随机字符，再用ps aux看启动路径，通常在/tmp、/var/tmp、/dev/shm这种大家爱用的临时目录。

实际排查命令示例：
top -c 查看CPU占用最高的进程及其完整启动命令
ls -la /proc/[PID]/exe 定位可执行文件位置
cat /proc/[PID]/cgroup 确认是否被隐藏

网络连接异常，不断对外发包

挖矿程序需要连接矿池,即使自带代理，也免不了和外部IP通信，用netstat -antlp查看连接，发现大量到境外IP的TCP连接，或者DNS解析频率异常高，常见的矿池域名特征明显，比如pool.supportxmr.com、mine.c3pool.com。

文件系统出现可疑文件和定时任务

检查/etc/crontab、/var/spool/cron/root，如果多了不明不白的计划任务，指向/tmp下的脚本，基本可以实锤，再看/etc/ld.so.preload，很多木马用这个文件劫持系统命令，让你执行ls、ps时看不到真实进程这就是典型的Rootkit手法。

服务器中挖矿木马后的应急处理步骤

第一步：隔离和准备取证

发现服务器被挖矿后,别急着杀毒，先断开外网，保留现场，可以用防火墙临时封锁出口流量，但别关机，因为很多挖矿木马内存运行，一关机线索就没了，同时用history查看近期命令记录，用last看登录日志，找出黑客的入侵来源和时间点。

第二步：清除木马文件与持久化机制

挖矿木马一般有多个部件：核心矿机二进制文件、守护脚本、计划任务、SSH后门、日志清理工具，需要按顺序处理：

• 先杀掉挖矿进程（kill -9 PID），但守护脚本会立刻拉起来，所以要同时删除守护脚本和计划任务
• 检查/tmp、/var/tmp、/dev/shm目录，删除可疑文件
• 清理/etc/ld.so.preload，恢复被劫持的ps、top命令
• 检查~/.ssh/authorized_keys，删除陌生的公钥
• 用find / -ctime -3 -type f找出最近被修改的文件，逐一甄别

第三步：加固服务器防再次中招

清除不是目的,不加固必然复发，修改root密码，创建强口令的普通用户并加入sudo组，关闭密码登录，改用密钥，更新系统和所有中间件补丁，尤其是Web服务、数据库、消息队列这类常被利用的组件，如果业务能力允许，用云安全组把SSH、数据库端口限制到固定IP。

挖矿木马查杀工具与人工排查的配合

开源工具和云厂商自带的检测

市面上常见的主机安全软件,像简米云安骑士、酷番云云镜，都有挖矿木马查杀功能，开源工具方面，ClamAV能扫出已知样本，chkrootkit和rkhunter专门查Rootkit后门，但这类工具对未知变种和内存马效果有限，最大的问题是误报和漏报并存。

云厂商的安全服务值不值这个价

很多用户纠结要不要买付费的“应急响应”服务，以简米云和酷番云为例，单次挖矿木马清除服务报价在几百块到上千块不等，具体看木马复杂度和是否要溯源，如果服务器上有重要业务数据，且自己动手清过两次都复发，建议直接付费外包，行业共识认为，花一次清除服务的钱，省下的时间成本远超价格本身。

防止服务器中挖矿木马的日常加固措施

口令、端口、补丁三件套

• 不使用默认SSH端口,改成10000以上的高位端口
• 禁止root直接登录,PermitRootLogin no必须写上
• 所有对外开放的服务都走独立低权限用户,比如nginx用户运行Web服务
• 每周检查一次云厂商的安全补丁公告,重要的高危补丁48小时内打完

监控告警与基线检查

部署一个简单的监控脚本,CPU持续超过80%就自动告警到钉钉或邮件，如果Windows服务器，在任务计划里设置资源监视器，定期对比文件哈希值，用aide这类工具做文件完整性检查，一旦系统关键文件被动过，马上能发现。

常见问题（Q&A）

服务器中挖矿木马后，直接重装系统能解决吗？

能解决,但前提是重装后不做同样的错误配置，如果数据盘、备份文件、Docker镜像里也藏了木马，挂载回来照样中招，重装前先把非系统盘单独挂到干净机器上扫描一遍，重装后立刻改密码、打补丁、关外网，确认无误再恢复数据。

为什么云服务器厂商的安全告警显示挖矿木马被拦截了，CPU还是高？

云厂商的告警通常只是拦截了文件落地行为,但内存中的挖矿进程可能已经存活，木马可能用了“无文件攻击”技术，直接通过memfd_create在内核内存中运行，磁盘上不落任何文件，此时需要人工排查网络连接，找到矿池IP后切断通信，再清掉内存进程。

挖矿木马清除后为什么很快又出现？

说明黑客的持久化入口还没堵住,常见原因是计划任务删不干净，或者SSH后门公钥还留在authorized_keys里，也可能是Web应用存在文件上传漏洞，黑客反复利用，建议清完木马后，把系统所有的入站端口临时改一遍，观察一周，同时将Web日志和登录日志交给专业安全人员做一次完整溯源。