1.  tmp 目录下面

2. 定时任务查找一下 crontab -e

3. 病毒要下载 ps -ef|egrep "curl|wget"  查看是否有下载的命令

4. top 一下看一下哪个占用cpu最高

5. 查找目标文件 find  /  -perm 777 目录下777   权限的文件

6. /etc/passwd下面的文件用户哪些可以登录,去掉不正常的可以登录用户/bin/bash

7.查看 /etc/rc.local 用户下面的开机自启动

8. 查看密钥是否被人动了,删除密钥没用的.redis中毒后果.

 应对 :

1. cat /etc/hosts.allow  文件设置登录sshd的IP设置.

2.chattr +i 锁定 定时任务 锁定/root/.ssh/auth_key等文件

锁定 /etc/passwd文件