| 批处理 | top -b -n 1 |
|---|---|
| 排序 | top -o %CPU |
| 异常特征 | CPU 接近 100%、运行时长很短 |
| 复核 | ps -p <PID> -o lstart,cmd |
抓一次排序快照
抓一次排序快照
top -b -n 1 -o %CPU | head -n 25
top -b -n 1 -o %CPU | awk 'NR>7 && $9>50 {print}' # 只看高 CPU 行挖矿进程常把名字改成 kworker、crond 等系统名：看资源占比，而不是看名字。
top 快速定位高占用的挖矿进程
挖矿木马的典型特征是 CPU 长期跑满：用 top 批处理模式抓快照，按 CPU 排序锁定嫌疑人，再看启动时间与命令行。
易错点
- 只扫一眼就关掉：没留证据，无法证明挖矿持续多久
- 忽略只占了部分核数的挖矿进程（负载被分摊掉）
数据来源与参考
- man 1 top（procps-ng）
- MITRE ATT&CK T1496 资源劫持