当前位置： 首页 > article >正文

【linux】服务器CPU占用50%,top/htop/ps却看不到异常进程？使用unhide可以查看！

article 2025/1/18 6:57:17

问题描述

htop发现前32个核全被占满了，但是却找不到对应进程号
在这里插入图片描述

查杀

治标：杀死隐藏进程

1、unhide

安装unhide
apt-get install unhide
unhide使用
unhide proc

果然发现了隐藏进程
在这里插入图片描述

kill -9
kill -9 [pid]

这么多pid号，我这边杀了其中一个，发现CPU就没有被占用了。
但是过了段几小时后病毒程序再次启动。

在这里插入图片描述

2、sysdig

安装sysdig
apt-get install sysdig 
sysdig -c topprocs_cpu

在这里插入图片描述

治根：找出病毒位置

在这里插入图片描述
程序写在kernel里了？

在这里插入图片描述

参考文章

急死！CPU被挖矿了，却找不到哪个进程！
阿里云 centos 服务器 长期 cpu100%，无法通过top、ps等命令找出占cpu进程？

附录

分析病毒文件

cd /proc/隐藏进程pid号

病毒进程主目录/proc/2036

在这里插入图片描述
可以发现这货将exe文件软链接到/1783629e (deleted),这样让系统误以为进程号不存在？
运行exe
在这里插入图片描述

/proc/2036/task/2036/attr

在这里插入图片描述/proc/2036/task/2036/fd

/proc/2036/map_files

在这里插入图片描述

/proc/2036/ns

发现不同进程的这个ns都是一样的，看来程序是写死的
在这里插入图片描述

/proc/2036/fd

在这里插入图片描述

/proc/2036/task/

在这里插入图片描述

/proc/2036/task/2036

这里task里面的2036和外面的/proc/2036是一样的
在这里插入图片描述

通过下述命令了解unhide 详细用法

unhide -h
man unhide
man unhide-tcp

http://www.kler.cn/a/146484.html

相关文章：

  • Kotlin语言的数据库交互
  • 80_Redis内存策略
  • 《鸿蒙Next微内核：解锁人工智能决策树并行计算的加速密码》
  • 梁山派入门指南4——定时器使用详解，包括定时器中断、PWM产生、输入捕获测量频率
  • 【Vim Masterclass 笔记12】S06L26 + L27：Vim 文本的搜索、查找及替换同步练习（含点评课）
  • Go Ebiten小游戏开发：贪吃蛇
  • Codeforces Round 786 (Div. 3) D. A-B-C Sort
  • 马养殖场建设VR模拟实训教学平台具有灵活性和复用性
  • 图论|知识图谱——详解自下而上构建知识图谱全过程
  • 智能电子会议桌牌
  • SWT技巧
  • C++ 红黑树插入详解
  • Calling COBOL Modules 调用COBOL模块
  • 【C/C++】如何不使用 sizeof 求数据类型占用的字节数
  • [element-ui] el-dialog 中的内容没有预先加载，因此无法获得内部元素的ref 的解决方案
  • ArrayList类
  • 编程中的解密之路：挑战、创新与技术难题的探索
  • 二十七、RestClient查询文档
  • 跨链原子交换
  • 《微信小程序开发从入门到实战》学习三十二
  • Spring Boot + hutool 创建海报图片
  • Typescript和Javascript的区别是什么？一文带您了解Typescript排名飙升的原因！
  • Open3D库进行点云的DBSCAN密度聚类和可视化 c++ 代码
  • 【Java】使用IntelliJ IDEA搭建SSM（MyBatis-Plus）框架并连接MySQL数据库
  • 【开源】基于Vue和SpringBoot的木马文件检测系统
  • 在Linux中对Docker中的服务设置自启动