1、进程
cpu 100% watchdog
2、解决
/tmp
netstat（矿池、鱼池、sup）进程，文件主程序
crontab -l 计划任务
分析脚本
3、如何进来的？
web日志、log4j、命令、漏洞：docker yam fastjiosn、邮件、下载恶意软件（doc、rar、恶意源、docker、wget）
4、定位
如何传播：蠕虫、ssh弱口令、内网ip探测工具、大量exp、Linux本身免密登陆、root高权限程序劫持、sodo
5、解决措施
下载样本、分析样本解决方案、sh、
时间大法：通过文件夹的创立时间快速推断出如何被感染
last登陆时间
last登陆失败的时间爆破的ip来定位出第一个中毒主机；
--修复漏洞、清理后门、（关门，打狗）
6、防护策略-避免再犯同样问题--安全建议
IPtable吧挖矿常见端口全切断（waf、防火墙加策略）
高级监控：ips + ids
人员安全意识提升
定期渗透测试
