服务器挖矿的3笔账，电费之外还有两坑

服务器挖矿3笔账电费之外还有两坑，这话不是拍脑袋编的，是自己收拾过几回烂摊子之后攒下来的。多数人一发现机器被拿去挖矿，第一反应都是“电费能多几个钱”，然后盯着机房那张单子看半天，看完还觉得不值一提呢。真让人头疼的东西，压根不在那张单子上。

明面上的账只占一头。

服务器挖矿3笔账电费之外还有两坑，先把账摆清楚

三笔账：电费、被吃掉的算力、还有安全合规那一摊；两坑：以为杀掉进程就完事、一着急就重装。听着简单吧？真到机器上，栽在后头的人不在少数。

我按这个顺序讲，是因为它的疼度基本是倒着来的——电费最好算也最不疼，算力那笔开始扎手，安全那笔通常要等出了事才有人肯认。

第一笔：电费，看着直观其实最容易算歪

top 或者 htop 一开，CPU 长时间顶在九成以上，功耗自然上去。机房电费按整机功率摊，一台两台没什么感觉，机器一多，账面上就明显了吧。但这里有个歪的地方：很多人拿挖矿程序那点“收益”去抵电费，觉得差不多持平就不算亏——问题是那点收益进的是别人的口袋，你付的才是自己的电费，具体按服务商账单和功率计读数为准，别自己拍脑袋估就好。

单子来了才知道疼。

第二笔：被吃掉的算力，比电费贵得多

这台机器本来该干嘛？跑网站、跑接口、跑定时任务。CPU 被矿机占满以后，PHP-FPM 排队，数据库慢查询堆成山。页面从一点就开变成转圈。后台登半天进不去。用户不会留言说“你的服务器被挖矿了”，他们只会关掉页面去隔壁。你拦不住啊。那几天询盘、下单、打开率全往下掉，而你还在查是不是网络抖动。带宽也跑不掉。矿池连接是持续外连，按流量计费的套餐月底一拉明细，钱花在自己完全不知道的地方。

客户不会等你查原因。

第三笔：安全这笔账，多数人压根没记

挖矿木马通常是入侵的下半场，不是第一现场。人家能进来放个矿机，就能顺手翻数据库、留个后门、往内网别的机器跳。业务里但凡沾点个人信息，后面还有通报和合规的一摊事，具体义务以法规原文和服务商、官方页面的说明为准，我不替谁下结论。平时嫌吵的登录告警、日志审计、异常外连提醒，这时候就值钱了——它们是唯一能告诉你“事情发生在几点”的东西。

这笔账最难开出口。

怎么分清是业务高峰还是被挖矿

三个信号。一是负载跟流量对不上，带宽曲线平着，CPU 却贴着顶；二是外连地址陌生，ss -antp 里一串往固定 IP 的高位端口连，矿池常用的 3333、5555、7777、14444 这类特征很扎眼；三是夜里也满，业务有低谷，挖矿没有。三条对上了，基本不用再猜。

三条对上，别猜了。

坑一：杀掉进程就当修好了

最常见的操作是：ps aux 里揪出一个叫 kdevtmpfsi 或者 kinsing 的东西，kill -9，CPU 应声回落，关机睡觉。第二天早上再登，又满了。为啥？守护还在。crontab -l 看当前用户，/etc/crontab、/etc/cron.d/ 一个别漏，systemctl list-units –type=service 里翻有没有名字很正经、路径却在 /tmp 或者 /dev/shm 的服务，/etc/rc.local 也扫一眼。SSH 那边，authorized_keys 里多出来的公钥得删，弱口令得改，22 端口别裸着对外。Redis 没设密码、Docker 容器里再跑一份，这些也都是常客啊。

进程会自己回来。

坑二：一急就重装，旧镜像往回倒

重装本身没错，错在恢复。业务等不起啊。很多人直接拿上周的快照回滚，或者备份一倒——后门跟着一起回来，白忙一场。更冤的是：同一份镜像批量开一排机器，一台中招，一排中招。挖矿也别当 DDoS 治。加带宽、升配置，等于给贼加餐——他正缺算力呢。

重装不是重置记忆。

我一般这么走一遍，顺序别乱

先掐网，别心软——安全组只留自己 IP，或者干脆下架。然后 ss -antp 把外连捋一遍，可疑 IP 记下来。top 里挑出吃 CPU 的那个 PID，ls -l /proc/PID/exe 看它真实路径，很多落在 /tmp、/dev/shm 这种地方。接着清 crontab、systemd、authorized_keys，删掉落地文件。再改口令、换密钥，能重装就重装，不然心里不踏实；重装完别急着回数据，先确认备份是干净的。放回网络后盯一天，看外连有没有再冒出来，再决定收不收工。

顺序反了，白忙一场。

老实说，机器被拿去挖矿，多半不是运气差，是门口没关严——该关的端口关掉，该换的密钥换掉，该留的告警别嫌吵关掉。至于电费和算力到底亏了多少，别自己估，去看账单和监控，拿不准的地方以服务商或官方页面说明为准，这样心里才有底嘛。