| 1 断 | 阻断 C2 回连与横向通道 |
|---|---|
| 2 定位 | 进程、连接、文件三处互证 |
| 3 清除 | 进程→持久化→文件（保留样本） |
| 4 验证 | 复扫 + 观察期确认不复发 |
定位可疑进程与文件
定位可疑进程与文件
ps auxwwf | grep -v grep | grep -iE 'tmp|dev/shm' | head -n 20
ss -antp | grep -E 'ESTAB' | head -n 20
find /tmp /dev/shm -xdev -type f -mtime -7 -ls 2>/dev/null | head -n 20清除前先保存样本与关键日志：清得太干净会失去取证与学习线索。