# 排查过程
本章节介绍Linux操作系统中主机安全排查的具体过程。
#### 操作步骤
1. 查看主机是否存在异常进程。 
   查询命令：top
   根据CPU占用率、进程名称等判断是否存在异常进程，如下可疑进程CPU占用率超过100%。
   ![](https://support.huaweicloud.com/bestpractice-securityInfo/zh-cn_image_0000001376889572.png "点击放大")
   
   
2. 根据异常进程PID值，查看文件位置。 
   查询命令：lsof -p+进程PID值（如25267）
   ![](https://support.huaweicloud.com/bestpractice-securityInfo/zh-cn_image_0000001376729620.png "点击放大")
   
   
3. 发现目录下的异常文件（带有xmr或mine的标识）。 
   1. 查看文件命令：ll -art
      ![](https://support.huaweicloud.com/bestpractice-securityInfo/zh-cn_image_0000001427089129.png "点击放大")
      
   
   
   
   2. 查询木马路径：pwd
      查询文件中是否存在异常地址：strings +文件名（如config.json）+ |grep xmr
      ![](https://support.huaweicloud.com/bestpractice-securityInfo/zh-cn_image_0000001376410144.png "点击放大")
      ![](https://support.huaweicloud.com/bestpractice-securityInfo/public_sys-resources/note_3.0-zh-cn.png)
      建议重点排查以下目录：/etc为配置文件、/tmp为临时文件、/bin为可执行文件。
      - 用户命令；用到的库文件可能在/lib，配置文件可能在/etc，/sbin为可执行文件。
      
      - 管理命令；用到的库文件可能在/lib，配置文件可能在/etc，/usr/为只读文件，shared read-only，/usr/local为第三方软件）
      
      - Linux命令大全请参见[Linux命令大全](https://www.linuxcool.com/)。
        
   
   
   
   3. 发现疑似矿池信息，将URL（xmr.flooder.org:80）放到[微步](https://x.threatbook.com/)上检测，结果为矿池。
      ![](https://support.huaweicloud.com/bestpractice-securityInfo/zh-cn_image_0000001427089405.png "点击放大")
      
   
   
   
   
4. 查看主机用户权限。 
   查询命令：cat /etc/passwd|grep +用户名（如bash）
   ![](https://support.huaweicloud.com/bestpractice-securityInfo/zh-cn_image_0000001426969497.png)
   ![](https://support.huaweicloud.com/bestpractice-securityInfo/public_sys-resources/note_3.0-zh-cn.png)
   nologin的用户没有登录权限，此处需重点查看存在登录权限的用户。
   
   
5. 根据主机登录日志文件，查看异常登录记录。 
   查询命令：cat +文件名（如secure）|grep Acc|grep +用户名（如oracle）
   根据成功日志寻找登录主机的习惯时间，需关注与木马植入相近的时间。
   ![](https://support.huaweicloud.com/bestpractice-securityInfo/zh-cn_image_0000001426849713.png "点击放大")
   根据登录的时间关注是否有异常IP登录及登录的频次（包括成功或失败的次数），若异常IP登录次数多则疑似为暴力破解行为。
   ![](https://support.huaweicloud.com/bestpractice-securityInfo/zh-cn_image_0000001427169905.png "点击放大")
   
   
6. 如果上述方法均不能解决您的疑问，请"提交工单"寻求更多帮助。