直接答案：先从控制台限制非必要出站/入站并保护业务数据，不要立即重启或只kill高CPU进程。保存进程树、可执行文件哈希、网络连接、登录、计划任务、systemd、容器和云审计证据，确定入侵入口与权限。若攻击者获得root、系统文件可信度未知或持久化无法穷尽，应优先从干净镜像重建，而不是把‘CPU降下来了’当清除完成。
本文于 2026 年 9 月按官方文档核对。命令和配置只展示判断方法，不代表可在任意生产环境直接复制；发行版、云平台、网络拓扑和业务写入不同，执行前必须确认对象、权限、备份和带外恢复入口。
专属资产：清除还是重装的证据阈值表
| 现象/阶段 | 要判断什么 | 需要的证据 | 安全边界 |
|---|---|---|---|
| 单个低权账号进程 | 范围可能有限 | 进程、文件、权限、入口 | 仍需查提权与持久化 |
| root执行/内核异常 | 系统可信度丢失 | 审计、模块、启动链 | 优先重建 |
| 计划任务/服务反复拉起 | 存在持久化 | cron、systemd、容器 | 只kill无效 |
| 云密钥/令牌暴露 | 可横向访问外部资源 | 凭据使用与审计 | 在可信设备轮换 |
| 唯一数据在主机 | 隔离与恢复冲突 | 只读快照和备份 | 先保护证据和业务数据 |
这张表要求每个结论至少有两个相互独立的证据，例如“服务监听+外部连接”“设备延迟+业务耗时”“备份文件+隔离恢复”。单一控制台绿灯、单次截图或一个User-Agent都可能误导，不能作为完成依据。
为什么常见的一键处理容易失败
运维问题通常跨越控制台、操作系统、应用和外部依赖。重启、全放行、清缓存或重装会改变多个变量，并可能清掉最有价值的现场。正确顺序是先定时间线和影响范围，再确认最靠近故障的证据层，最后做可回滚的最小动作。
对于有数据库、订单、表单、队列或用户上传的站点，还要先判断当前是否仍在写入。回滚旧快照、切回旧主机或恢复旧数据库前，必须处理变更期间的新数据；否则技术状态恢复了，业务数据却可能倒退。
六步安全执行流程
1. 确认对象与基线
确认告警时间、业务影响和CPU/网络现象，从云控制台限制非必要连接；保持管理取证通道，避免攻击继续下载或横向移动。
每一步都要写明执行时间、操作者、原始结果和预期；涉及删除、覆盖、网络规则或服务停止时，先确认备份与回滚命令。
2. 保留恢复入口
保存进程树、命令行、启动时间、二进制哈希、打开文件、连接、用户、登录和资源曲线；不要把完整令牌或客户数据复制到普通聊天。
每一步都要写明执行时间、操作者、原始结果和预期；涉及删除、覆盖、网络规则或服务停止时，先确认备份与回滚命令。
3. 取得直接证据
检查cron、systemd、rc脚本、authorized_keys、用户、sudo、容器、内核模块和临时目录，结合云控制台登录、API密钥和安全组审计。
每一步都要写明执行时间、操作者、原始结果和预期；涉及删除、覆盖、网络规则或服务停止时，先确认备份与回滚命令。
4. 只做最小变更
定位初始入口：弱口令、公开服务漏洞、泄露密钥、供应链脚本或应用上传。只删载荷不修入口会快速复发。
每一步都要写明执行时间、操作者、原始结果和预期；涉及删除、覆盖、网络规则或服务停止时，先确认备份与回滚命令。
5. 验证业务与副作用
在可信设备轮换SSH、云API、数据库、对象存储、CI/CD和第三方令牌。若主机已失陷，不在其上生成或输入新秘密。
每一步都要写明执行时间、操作者、原始结果和预期；涉及删除、覆盖、网络规则或服务停止时，先确认备份与回滚命令。
6. 重启或跨峰复验
根据权限和可信度选择清理或重建；重建从已知干净镜像恢复经检查的数据，补丁和加固后再切流，持续监控同类指标与外连。
每一步都要写明执行时间、操作者、原始结果和预期；涉及删除、覆盖、网络规则或服务停止时，先确认备份与回滚命令。
不应直接照做的五种处理
- 立即重启丢失内存和进程证据
- 只kill矿工进程
- 从失陷系统制作整机镜像直接上线
- 在原机输入全部新密钥
- 恢复数据时把后门脚本一起带回
这些做法并非永远错误，而是缺少适用条件。若确需执行，应在变更单中写清目标、影响范围、停止阈值、备份位置、回滚命令和预计恢复时间；高风险动作先在副本或小流量上演练。
回滚触发与数据边界
出现核心写入失败、持续5xx、管理员入口丢失、数据校验不一致、尾延迟越过停止阈值或监控失明时，应停止继续扩大变更。回滚前确认新旧环境各自产生了哪些写入，保留日志和配置差异；回滚后用相同请求和同一时间窗口重测，而不是只看首页恢复。
如果故障根因尚未确认但必须先恢复服务，可以采用限流、摘除单节点、恢复上一配置或临时切流等缓解措施，并明确它只是临时处置。恢复后仍要完成根因分析和复发验证，不能把“重启后正常”写成最终原因。
验收清单
- [ ] 网络已受控
- [ ] 证据和时间线完整
- [ ] 入口有可验证结论
- [ ] 权限范围已评估
- [ ] 持久化已盘点
- [ ] 外部凭据已轮换
- [ ] 恢复源可信
- [ ] 同类进程外连不再出现
验收应由另一位维护者按记录复现至少一项关键检查，并覆盖重启、真实高峰或等价受控负载。所有失败项都记录实际值与时间，不使用“基本正常”“应该没问题”作为关闭条件。
相关资料与隔离测试入口
站内可继续参考CPU100排查、服务器重装、快照与备份。需要搭建副本验证配置时，可查看美国轻量云和美国弹性云服务器的实时规格；先确认库存、价格和适用条件，不把测试环境当备份或生产容灾。
常见问题
CPU100%就一定是挖矿吗？
不是。业务峰值、备份、压缩和程序循环都可能。陌生可执行、临时目录、持续外连和持久化共同提高恶意可能。
杀掉进程后CPU正常算修好吗？
不算。启动项、下载器、漏洞入口和泄露凭据仍可能存在，进程还会重生或攻击其他资源。
安全软件扫描干净能否继续用？
扫描是证据之一，不能证明root级入侵后的系统完整性。高权限失陷或未知持久化时，干净重建更可信。
重装会不会丢数据？
系统盘通常会覆盖，必须先以只读和最小范围导出业务数据并检查；不要把未知二进制和配置原样恢复。
为什么还要轮换云平台密钥？
主机上的环境变量、配置和元数据可能暴露外部权限。攻击者即使离开主机，也可能继续调用云API或对象存储。