宝塔xmrig完整清理与加固方案

共计 1343 个字符，预计需要花费 4 分钟才能阅读完成。

在使用 ‌宝塔面板‌ 的服务器上发现 ‌xmrig 挖矿病毒‌，需立即采取行动清除并防止复发。以下是基于最新公开资料整理的完整清理与加固方案：

‌一、确认感染迹象‌

• CPU 持续 100%（多核全满）
• 内存异常占用
• top 或 ps aux 显示 xmrig、minerd、monero 等陌生进程
• 系统负载高但无对应业务流量

‌二、清除步骤（按顺序执行）‌

1. 终止 xmrig 进程：

   ps aux | grep -E 'xmrig|minerd|monero'
   kill -9 # 替换为实际进程 ID
   # 或一次性终止所有相关进程
   pkill -9 xmrig

2. ‌查找并删除病毒文件

   find / -name "xmrig" 2>/dev/null
   find / -name "minerd" 2>/dev/null
   # 常见藏匿路径包括：# /root/.cfg/, /tmp/, /var/tmp/, /opt/, /usr/local/bin/, /etc/.system/php/
   rm -rf /path/to/xmrig-file # 替换为实际路径

3. ‌清除自启动项（关键！）‌

   • ‌检查 systemd 服务‌：

     systemctl list-unit-files --type=service | grep -E 'xmrig|minerd'
     systemctl stop c3pool_miner.service # 示例服务名
     systemctl disable c3pool_miner.service
     rm -f /etc/systemd/system/c3pool_miner.service
     systemctl daemon-reload

   • 检查定时任务（crontab）‌：

     crontab -l # 查看当前用户
     crontab -e # 删除可疑行（如每分钟执行 /tmp/run.sh）# 检查系统级定时任务
     cat /etc/crontab
     ls /etc/cron.d/

   • ‌检查开机脚本‌：

     cat /etc/rc.local
     ls /etc/init.d/ | grep -E 'xmrig|minerd'

   • ‌清理恶意用户与权限

     userdel -r <username>

   • ‌清理 Docker 容器（如适用）若通过 Docker 暴露端口被入侵，删除相关容器和镜像：

     docker ps -a
     docker rm -f
     docker rmi

‌三、安全加固（防止再次感染）

• 修改 SSH 端口‌：将默认 22 改为 10000 以上端口。
• ‌禁用 root 远程登录‌：

  sed -i 's/PermitRootLogin yes/PermitRootLogin no/g' /etc/ssh/sshd_config
  systemctl restart sshd

• 加强密码策略‌：使用复杂密码（≥12 位，含大小写字母、数字、符号）。
• ‌启用防火墙‌：

  systemctl start firewalld
  systemctl enable firewalld

• ‌限制宝塔面板访问‌：仅允许可信 IP 访问面板端口（默认 8888）。
• ‌安装安全插件 ‌：如 护卫神防入侵系统，提供文件防篡改、进程监控等防护。

‌四、验证清理效果‌

• 重启服务器后，再次运行 top 和 ps aux | grep xmrig，确认无残留进程。
• 监控 CPU 使用率是否恢复正常。

⚠️ ‌重要提醒‌：仅删除进程无法根治，必须同步清除自启动项、定时任务和漏洞，否则 24 小时内可能再次被植入。