如何检测云服务器是否被入侵？（查后门/异常进程）

top -c          # 动态查看CPU/内存占用最高的进程
htop            # 更直观的进程监控工具（需安装）
ps aux --sort=-%cpu | head -10  # 查看CPU占用前10的进程
ps aux --sort=-%mem | head -10  # 查看内存占用前10的进程

ps -ef | grep -v "\["  # 过滤内核进程，查看所有用户进程
ls -al /proc/*/exe 2>/dev/null | grep deleted  # 查找已删除但仍运行的进程（常见于木马）

netstat -antp    # 查看所有TCP连接及关联进程
ss -tulnp        # 更现代的替代命令
lsof -i          # 列出所有网络连接和打开的文件

# 检查是否有进程向可疑IP发送数据
sudo tcpdump -i eth0 -n -c 100 'dst net not your_trusted_network'

last -a          # 查看所有用户登录历史
lastb            # 查看失败的登录尝试（需启用日志）
grep "Failed password" /var/log/auth.log  # 检查SSH暴力破解记录（Ubuntu）
grep "Invalid user" /var/log/secure      # （CentOS/RHEL）

cat /etc/passwd | grep -v "/bin/false" | grep -v "/sbin/nologin"  # 查看可登录用户
sudo grep ":0:" /etc/passwd       # 检查是否有UID=0的非root用户（提权后门）
awk -F: '($3 == 0) {print}' /etc/passwd  # 同上

# 查找近期被修改的文件（7天内）
find / -type f -mtime -7 -exec ls -la {} \; | grep -vE "/proc|/sys|/var/log"

# 查找隐藏的恶意脚本（如 .php、.sh、.py 等）
find / -name "*.php" -o -name "*.sh" -o -name "*.py" | grep -vE "/var/www|/usr/lib"

# 检查 /tmp、/dev/shm 等临时目录
ls -la /tmp /dev/shm | grep -vE "systemd|\.\.|\.$"

crontab -l       # 查看当前用户的计划任务
ls -la /etc/cron* /var/spool/cron/*  # 检查系统级和用户级任务
cat /etc/crontab

# SSH登录日志
tail -100 /var/log/auth.log      # Ubuntu/Debian
tail -100 /var/log/secure        # CentOS/RHEL

# 系统日志
journalctl -xe --no-pager | tail -50  # Systemd日志（CentOS 7+/Ubuntu 16+）
dmesg | grep -i "error"          # 内核日志

# 查看日志文件是否被删除或清空
ls -la /var/log/ | grep -E "auth.log|secure|messages"
# 检查日志文件是否被替换（如 auth.log -> /dev/null）
ls -la /var/log/auth.log | grep "\->"

# 安装并运行 chkrootkit
sudo apt install chkrootkit -y    # Ubuntu/Debian
sudo yum install chkrootkit -y    # CentOS/RHEL
sudo chkrootkit

# 安装并运行 rkhunter
sudo apt install rkhunter -y      # Ubuntu/Debian
&a