服务器病毒查杀核心是“断网→检测→清理→验证”四步闭环，需隔离网络、多工具交叉扫描（如ClamAV/rkhunter/Malwarebytes）、重点排查异常进程/用户/启动项，并重启后验证命令完整性及日志审计。
服务器维护中进行全盘病毒扫描与木马查杀，核心是“断网→检测→清理→验证”四步闭环，不能只依赖一键扫描。尤其在Linux或Windows服务器上，恶意程序常隐藏于系统底层、伪装进程、替换关键命令，单纯用图形界面点“全盘扫描”容易漏掉rootkit、内存马和隐蔽后门。
一、先隔离再扫描：断网与环境固化
不切断网络就扫描，等于边扫边被远程操控。必须优先阻断攻击链路：
- Linux：执行ifconfig eth0 down（或ip link set eth0 down）禁用外网网卡；若为云服务器，直接在控制台关闭公网IP或调整安全组规则，仅保留内网通信。
- Windows：以管理员身份运行命令提示符，输入netsh interface set interface "Ethernet" disabled（将“Ethernet”替换为实际连接名）。
- 同步记录基础信息：Linux下运行uname -r、cat /etc/os-release；Windows下运行systeminfo，用于后续比对工具兼容性与日志溯源。
二、多层交叉扫描：不止靠一个杀软
单一引擎对新型木马、混淆脚本、无文件攻击识别率有限。需组合使用命令行工具与专业查杀软件：
- Linux服务器推荐组合：
• ClamAV：安装后更新病毒库freshclam，再执行clamscan -r --bell -i /（-i仅显示感染文件）；
• rkhunter + chkrootkit：分别运行rkhunter --check和chkrootkit，重点看“Warning”和“Suspect”条目；
• 补充人工排查：find / -type f -mtime -3 -name "*.sh" -o -name "*.py" 2>/dev/null查找3天内新建的可疑脚本。 - Windows服务器推荐组合：
• 启用Windows Defender离线扫描（Windows Security → Virus & threat protection → Scan options → Microsoft Defender Offline scan）；
• 运行Malwarebytes和AdwCleaner（二者均支持服务端静默安装与命令行扫描）；
• 检查注册表隐藏账户：reg query "HKLM\SAM\SAM\Domains\Account\Users\Names" /s，比对wmic useraccount get name,sid结果，发现SID末尾为-500但非Administrator即为高危。
三、重点盯防顽固项：进程、端口、用户、启动项
扫描报告只是线索，真正要动手的是这些高危位置：
- 异常进程：Linux用ps auxf --forest看进程树，重点查父进程为/usr/bin/python3却路径在/tmp或/dev/shm的；Windows用tasklist /svc /fi "STATUS eq running"，过滤掉Microsoft签名以外的svc宿主进程。
- 可疑外连：Linux执行lsof -i -P -n | grep -E "(ESTABLISHED|SYN_SENT)"，剔除已知业务IP；Windows用netstat -ano | findstr ":443 :80 :22"，再用tasklist /fi "PID eq XXXX"反查对应进程。
- 隐藏用户：Linux检查cat /etc/passwd | awk -F: '$3==0 {print $1}'（UID 0账户）、awk -F: 'length($2)==0 {print $1}' /etc/shadow（空密码账户）；Windows检查net user与注册表HKLM\SAM\SAM\Domains\Account\Users是否一致。
- 自启动项：Linux检查systemctl list-unit-files --state=enabled、ls -la /etc/rc*.d/、crontab -l及/etc/cron.d/；Windows检查shell:startup、services.msc、任务计划程序中的非常规触发任务。
四、清理后必须验证：不是“扫完就完事”
一次扫描清除≠彻底干净。很多木马会在重启后从计划任务、内核模块或Webshell中再生：
- 重启前，先用chattr -i解除被设为不可修改的恶意文件属性，再删除；
- 重启后立即再次运行rkhunter --check或Malwarebytes --scan，确认无新增威胁；
- 检查关键命令是否被篡改：Linux比对md5sum /bin/ls /usr/bin/netstat与官方镜像哈希值；Windows用certutil -hashfile C:\Windows\System32\netstat.exe SHA256校验签名；
- 最后导出一份完整处理日志：history > /root/scan_log_$(date +%F).txt（Linux）或保存PowerShell执行记录（Windows），便于复盘与审计。
