全链路宝塔挖矿病毒应急处置的前置准备
挖矿病毒攻击多为批量入侵，前置准备能降低处置时的二次感染风险与数据损失概率。
核心环境与数据保护
- 立即隔离受感染服务器：断开宝塔绑定的外网域名解析，关闭云服务商安全组/防火墙的非必要入站端口（仅保留临时SSH自定义端口用于远程操作），如无需远程可直接切断外网连接。
- 生成系统关键日志备份：使用宝塔面板文件管理或SSH命令，备份/var/log/messages、/var/log/auth.log、/var/log/secure、宝塔面板运行日志（默认路径/www/server/panel/logs/）、网站访问日志（默认路径/www/wwwlogs/）至独立未感染的服务器或本地加密存储设备。
排查工具的准备与部署
国内Linux服务器可优先使用国产开源工具，适配性更高；国际通用工具可作为补充验证。
- 轻量排查工具：ClamAV（开源杀毒引擎）、rkhunter（Rootkit检测工具）、chkrootkit（轻量Rootkit检测工具）、htop（实时进程监控工具）、netstat/ss（网络连接监控工具）
- 宝塔内置工具辅助：面板自带【安全】-【进程管理】、【安全】-【防火墙】功能，适用于基础排查。
通过SSH命令安装核心工具（以CentOS7/8/AlmaLinux为例，Ubuntu/Debian替换yum为apt-get即可）：
```
更新系统软件源
yum update -y
安装htop、net-tools、rkhunter、chkrootkit
yum install htop net-tools rkhunter chkrootkit -y
安装ClamAV并更新病毒库
yum install clamav clamav-update -y
freshclam
```
宝塔挖矿病毒的全链路精准排查
挖矿病毒通常包含“入侵入口利用、恶意文件落地、后门植入、挖矿进程启动、持久化配置”5个环节，排查需覆盖每个环节。
实时运行状态排查
先通过实时监控定位活跃的恶意进程与异常网络连接，这是最快锁定病毒踪迹的方式。
- 打开htop，按CPU使用率排序（Shift+p），观察是否有占用CPU 80%以上、无明确程序名称或名称伪装成系统进程（如“systemd-update”、“kworker/u8:0”后缀异常）的进程，记录进程PID、启动用户、启动路径。
- 使用ss -tulnp查看服务器开放端口的关联进程，观察是否有连接境外IP（如东欧、东南亚等黑产活跃地区）、使用非标准端口的进程，重点关联htop中锁定的高CPU占用进程。
如发现伪装系统进程的恶意PID，可通过以下命令获取详细启动参数：
```
查看PID对应的进程启动信息
cat /proc/[恶意PID]/cmdline
查看进程打开的文件
lsof -p [恶意PID]
```
入侵入口与恶意文件排查
结合备份日志与工具扫描，定位病毒进入路径与已落地的所有恶意文件。
入侵入口验证
重点排查以下3类宝塔面板常见入侵点：
- 查看wwwlogs目录下的网站访问日志，搜索“phpmyadmin”、“thinkphp”、“wordpress xmlrpc”、“sql injection”等关键词，验证是否存在Webshell上传、SQL注入、远程代码执行（RCE）漏洞利用痕迹。
- 查看auth.log/secure日志，搜索“Accepted password”、“Failed password”、“sshd brute force”等关键词，验证是否存在SSH弱口令暴力破解成功的情况。
- 查看宝塔面板运行日志，搜索“plugin install”、“file upload”、“user login”等关键词，验证是否存在未授权的面板插件安装、文件上传或管理员登录。
恶意文件扫描
- 使用ClamAV全磁盘扫描核心目录（/tmp、/var/tmp、/dev/shm、/www、/root为高危目录）：
```
扫描并显示所有感染文件
clamscan -r -i /tmp /var/tmp /dev/shm /www /root
扫描并自动删除感染文件（谨慎使用，建议先手动确认）
clamscan -r -i --remove /tmp /var/tmp /dev/shm /www /root
```
- 使用rkhunter与chkrootkit检测Rootkit与系统后门：
```
更新rkhunter特征库
rkhunter --update
执行Rootkit检测
rkhunter --check
执行chkrootkit检测
chkrootkit
```
持久化配置排查
挖矿病毒会通过多种方式实现重启后自动运行，需逐一清理所有持久化项。
```
查看当前用户定时任务
crontab -l
查看系统全局定时任务
cat /etc/crontab
查看所有用户的定时任务目录
ls -la /var/spool/cron/
查看系统定时任务子目录
ls -la /etc/cron.d/ /etc/cron.hourly/ /etc/cron.daily/ /etc/cron.weekly/ /etc/cron.monthly/
```
```
查看所有已启动服务
systemctl list-units --type=service --state=running
查看所有安装的服务
systemctl list-unit-files --type=service
```
```
查看rc.local启动项
cat /etc/rc.local
cat /etc/rc.d/rc.local
查看profile/bashrc等环境变量启动项
cat ~/.bashrc
cat ~/.bash_profile
cat /etc/profile
cat /etc/profile.d/
```
使用宝塔面板【安全】-【病毒查杀】功能，或在线Webshell检测工具（如360主机卫士Webshell检测、D盾Webshell查杀）对/www/wwwroot目录下的所有网站文件进行二次扫描。
宝塔挖矿病毒的标准化清理与修复
基于排查结果，按“终止进程-删除文件-清理持久化-修复入侵漏洞”的顺序执行操作，确保清理彻底。
恶意进程与网络连接终止
- 使用kill -9 [恶意PID]强制终止锁定的所有恶意进程。
- 如恶意进程无法终止（可能为守护进程循环启动），可先终止守护进程，再终止子进程，或使用临时防火墙规则阻断其网络连接，防止其下载新的恶意模块。
恶意文件与持久化项清理
- 手动删除或通过ClamAV自动删除所有扫描到的恶意文件、Rootkit组件。
- 使用crontab -e编辑当前用户定时任务，删除所有可疑任务；使用rm -f删除可疑的全局定时任务、用户定时任务目录下的文件、系统服务、启动项文件。
- 如发现系统核心文件（如/bin/ps、/bin/ss）被篡改，需从同版本未感染的服务器上复制替换，或使用系统自带的yum/apt-get重装对应软件包。
入侵漏洞的修复
这是防止再次感染的关键环节，需针对排查到的入侵入口逐一修复。
- 如为Web漏洞入侵：升级网站程序、插件、主题至最新安全版本，删除所有未使用的插件、主题、测试文件，修复已知的SQL注入、XSS、RCE等漏洞，配置网站WAF（可使用宝塔面板内置的免费WAF或云服务商的WAF服务）。
- 如为SSH弱口令入侵：修改所有用户的SSH密码为强密码（包含大小写字母、数字、特殊字符，长度≥16位），禁用root用户直接SSH登录，开启SSH密钥登录，修改SSH默认端口为自定义端口（建议10000-65535之间），配置云服务商安全组/防火墙仅允许特定IP访问自定义SSH端口。
- 如为宝塔面板漏洞入侵：升级宝塔面板至最新安全版本，修改面板管理员密码为强密码，修改面板默认端口为自定义端口，配置面板安全入口（仅允许特定IP访问），开启面板二次验证（如Google Authenticator），删除所有未使用的面板插件、备份插件中的可疑文件。
宝塔面板挖矿病毒的长期加固方案
根据中国网络安全产业联盟2024年发布的《Linux服务器挖矿病毒攻击态势报告》，92%的挖矿病毒攻击可通过基础安全加固避免。
系统层面加固
- 定期更新系统软件包、内核版本至最新安全版本，可使用宝塔面板【软件商店】-【系统工具】-【系统更新】功能自动更新。
- 关闭所有非必要的系统服务与端口，使用宝塔面板【安全】-【防火墙】功能一键配置基础规则。
- 配置系统日志远程备份，防止日志被恶意删除。
网站层面加固
- 配置网站文件权限为最小权限（通常目录权限755，文件权限644，特殊目录如上传目录需禁止执行PHP等脚本文件），可使用宝塔面板【网站】-【设置】-【目录保护】功能一键配置。
- 配置网站每日自动备份至独立未感染的服务器或云存储服务（如阿里云OSS、腾讯云COS）。
监控层面加固
- 配置云服务商的服务器监控告警，对CPU使用率、内存使用率、网络流量、SSH登录等异常情况进行实时告警。
- 使用宝塔面板【安全】-【系统监控】功能，定期查看服务器运行状态与日志。
