| 复扫 | 杀软/ClamAV 全量扫描 |
|---|---|
| 监控 | 外连异常、进程复活、文件再生成 |
| 对照 | 持久化清单逐项复查 |
| 时长 | 按风险定，通常 24-72 小时 |
复扫与复发迹象检查
复扫与复发迹象检查
clamscan -r -i /var/www /tmp 2>/dev/null | tail -n 10
ss -antp | grep ESTAB | head -n 20
systemctl list-timers --all --no-pager | head -n 20观察期每天记录一次基线（进程、连接、关键目录哈希），出现变化立即复查。