服务器被挖矿程序占了，排查和清理记录

CPU 一直 100%，top 看到个陌生进程，名字很像系统进程。

处理步骤：

1. 记录进程信息，但不要直接 kill（先留证据）
2. 查启动方式：systemctl list-units 找可疑服务，crontab 找可疑任务
3. 查网络连接：ss -tunp 看它连到哪
4. 找文件位置：ls -l /proc/PID/exe
5. 清理：停服务、删定时任务、删文件、改所有密码、更新密钥

教训：

• 根因是 Redis 没设密码且暴露在公网
• 清理完必须改所有凭证，挖矿程序通常会留后门

现在的规矩：任何服务上公网必须过一遍安全基线检查。