服务器被拿去挖矿，电费单先露馅

电费单是最早报警的那个东西。服务器不会喊疼，它只会让电表多转几圈、让风扇整宿嗡嗡响。服务器被拿去挖矿电费单先露馅，这个顺序我见过太多次：先是运维觉得这个月机房电费不太对，接着有人抱怨后台卡、图片加载慢，最后登机器一看，几个核常年跑满不下来。真正麻烦的不是矿机有多难杀，是多数人根本不知道自己机器正常该长什么样。

服务器被拿去挖矿电费单先露馅，很少是从告警开始的

监控一般只盯网站能不能打开、状态码是不是 200。CPU 有一个核打满，页面照样出得来，告警一条不发。挖矿程序也知道自己讨人嫌，nice 值调低、线程数压在核数以内，就为了不把业务挤死。结果就是电费先涨、风噪先大，监控安安静静。所以别只信告警面板，隔三差五上去看一眼真东西，比什么阈值都靠谱。

先看负载，别一上来就翻访问日志

上来就查 access.log 是常见弯路。先敲 uptime，看 1 分钟、5 分钟、15 分钟三个数是不是都高，而且一直不降。再 top 或 htop，重点看 us 和 wa：us 高说明 CPU 在算东西，wa 高多半是磁盘在拖。多核机器最容易看漏，八核跑满两核，整体才二十几个百分点，看着挺正常。真业务是有峰谷的，挖矿是平的——一条直线横在那里，那就不太像人干的事。

进程列表里那些装得很像的名字

ps aux –sort=-%cpu | head -20 基本能看出苗头，但别看到名字就下结论。真 kworker 在 ps 里是带方括号的，去掉方括号还叫 kworker 的，就很可疑。有人把进程起成 nginx、java、systemd- 甚至 sshd 的样子。查它从哪来：ls -l /proc/<pid>/exe 看真实路径，ls -l /proc/<pid>/cwd 看工作目录，路径落在 /tmp、/var/tmp、/dev/shm 这几个地方，基本就不用再问了。

网络那头连着谁，比进程名更有说服力

ss -antp 或者 netstat -antp 扫一遍外联。挖矿连接的特点是：不密，但很稳，一个进程挂着一条长连接不断，端口像 3333、5555 这类，具体以你实际抓到的为准。配合 lsof -p <pid> 看它开的文件和连接，比单看进程名踏实。顺手也瞄一眼出方向流量，很多矿机流量小得可怜，别指望靠流量图发现它，它就是靠 CPU 和时间慢慢磨。

定时任务和 SSH 公钥，通常是一起被改的

杀进程是治症状。挖矿进来第一件事往往是扎营：crontab -l 看当前用户，/etc/crontab、/etc/cron.d/、/var/spool/cron/ 挨个翻一遍；systemctl list-units –type=service 里找名字陌生、又不属于业务的服务；再看 ~/.ssh/authorized_keys，末尾多出来那一行公钥就是后门。有些还会在 /etc/rc.local、/etc/profile 里塞一句。这些地方不清理，重启一次它就回来了。

入口大多是弱口令和旧组件

把 Redis 的 6379、Mongo 的 27017、Docker 的 2375 直接开在公网上，没密码或者默认密码，这类事故年年有。还有测试环境、临时开的调试端口，用完忘了关。管理面板、phpMyAdmin 挂在一级路径上，密码还是后台那套老弱口令。云主机的安全组写成 0.0.0.0/0 全放行，等于门都没装。漏洞这块别猜，组件版本对着官方公告和厂商的安全通告查，以官方页面说明为准。

清理顺序别搞反，先断网再动手

合理的顺序是先限流：安全组里只留自己的管理 IP，业务端口照常开着，把可疑外联掐掉。有条件的先做个快照或镜像，留现场，回头复盘、报案都用得上。然后才是杀进程、停服务、清定时任务、换 SSH 密钥、改所有密码，最后补漏洞。如果攻击者拿到的已经是 root，机器上还发现了内核层的东西，别舍不得，重装比手工清理可靠，数据从干净备份拉回来就行。

电费单之外，还有几张账单要付

被占用的机器会拖慢网站，用户不会等你排查完，转身就走。出口 IP 还可能被打进黑名单，发出去的邮件直接进垃圾箱，搜索引擎那边也会受牵连。云厂商一侧也可能有限速、封禁之类的处理，具体以服务商说明为准。至于合规，自己的机器自己决定用途没问题；公司资产、客户托管、机房租用的机器，没有书面许可就别碰，这条没什么模糊地带。

一张随手能用的检查单

uptime 看三个负载数；top 里确认是 us 高还是 wa 高；ps 按 CPU 排前二十，逐个看 /proc/<pid>/exe 的路径；ss -antp 查长连接外联；crontab -l 加 /etc/cron.d/ 一起翻；authorized_keys 数一数有几行；/etc/passwd 有没有新面孔；安全组规则和实际监听端口对不对得上。这一套跑一遍十几分钟，比等下一张电费单划算得多。

电费单先露馅，算是运气好。真等它把机器吃满、把 IP 用黑、把业务拖垮，代价就不只是几度电。给自己定个规矩：新机器上线先把端口和密码收一遍，每月抽十分钟跑一次上面的检查单。挖矿这行当不会消失，你能做的是别让它在你机器上住得太舒服。