注意点

在查看文件内容时要使用cat -A 命令

命令替换

首先看要使用的命令ps和top等是否被替换，可以使用rpm、stat 等命令来检查。如果出现了被替换的情况，可以从其他机器将命令拷贝，并使用绝对路径进行执行和修复原来的命令。

查看登录日志

看 /var/log/secure 文件中的日志，限制ssh登录IP，并备份清理/root/.ssh/authorized_keys

查看用户

使用 cat /etc/passwd 查看是否有新增用户，并使用 usermod -L 锁定

查看定时任务

首先查看定时任务日志 /var/log/cron，看是否有定时任务在跑。
然后看是否有定时任务配置 /var/spool/cron/ 、/etc/crontab、/etc/cron.d/、/etc/cron.*

特殊文件

/etc/ld.so.preload

参考文章：
一次服务器被入侵的处理过程分享