云服务器木马有哪些特征

云服务器（云主机）被植入木马后，通常会表现出一系列异常特征。可以从系统层面、网络层面、资源层面、安全软件层面、业务层面几个维度来识别。
—
## 一、系统层面特征
1. 出现未知进程
- 有不明名称的进程（如随机字符串、伪装成系统进程 syslogd、java、python 等）
- 进程 CPU / 内存占用异常高
2. 异常启动项
- /etc/rc.local、crontab、systemd 中存在不明脚本
- 用户目录下有隐藏文件（.ssh/、/tmp/ 下可疑文件）
3. 权限与账号异常
- 新增未知系统账号或 sudo 权限账号
- .ssh/authorized_keys 被添加未知公钥
4. 文件被篡改
- 系统命令被替换（ps、netstat、ls 等）
- Web 目录中出现 webshell（如 eval、base64_decode）
—
## 二、网络层面特征
1. 异常外连
- 服务器主动连接境外 IP、矿池、C2 服务器
- 高频连接陌生端口（如 3333、4444、6667）
2. 端口异常开放
- 出现非业务所需监听端口
- 隐蔽端口（高位端口）持续通信
3. 流量异常
- 出网流量远大于入网流量
- 夜间或空闲时段流量突增
—
## 三、资源层面特征
1. CPU / 内存莫名占满
- 常见为挖矿木马（XMRig 等）
2. 磁盘 IO 异常
- 大量读写（勒索木马、遍历加密）
3. 负载高但业务量低
- 系统负载与访问量不匹配
—
## 四、安全与日志特征
1. 日志被清理
- /var/log/ 被清空或修改时间异常
2. 登录异常
- 非授权时间、异地 IP 登录
- 暴力破解成功记录
3. 安全软件失效
- 云盾 / 杀毒被卸载或进程被杀
—
## 五、业务层面特征
- 网站访问变慢、跳转未知页面
- 接口被滥发邮件 / 短信 / 请求
- 数据库被拖库或加密勒索
—
## 常见云服务器木马类型
- 挖矿木马（最常见）
- 反向 Shell / 远控木马
- Webshell
- 勒索木马
- DDoS 僵尸网络客户端
—
## 简单自查命令（Linux）
bash<br>top<br>netstat -antp<br>crontab -l<br>ls -la /tmp<br>cat ~/.ssh/authorized_keys<br>last<br>
如果你愿意，可以告诉我具体异常现象（如 CPU 高、外连 IP、某个进程名），我可以帮你判断是哪种木马以及清除思路。