CentOS作为服务器领域的主流操作系统，其安全性一直备受关注。很多运维人员和管理员面对系统异常、CPU飙升、网络异常连接时，第一反应就是怀疑服务器中了病毒。实际上，CentOS的病毒查杀不像Windows那样有成熟的一键杀毒软件，但这不代表它不需要防护。我常年管理Linux服务器，对CentOS下的病毒查杀积累了不少实战经验，今天把这些方法系统梳理一下。
如何用ClamAV扫描CentOS病毒
ClamAV是Linux系统下最常用的开源杀毒引擎，在CentOS上部署非常方便。我建议第一件事就是安装epel源，因为ClamAV不在默认源里。命令很简单：yum install epel-release，然后yum install clamav clamav-update。安装完成后记得更新病毒库，freshclam这个命令必须跑一次，否则扫描时用的是空库。
扫描的时候我常用clamscan -r /home来递归扫描home目录，但要注意这会把扫描结果直接打印到屏幕，内容太多会刷屏。更好的做法是clamscan -r /home --log=/var/log/clamav_scan.log，把结果记录到日志文件里，方便事后分析。遇到可疑文件可以加上--remove参数自动删除，但新手建议先别加，先看看结果再说。
实际运维中我发现一个坑：ClamAV对系统文件的误报率不算低，特别是某些加密脚本或者备份文件。所以扫描结果出来后，不要急着动手，先把可疑文件用file命令确认一下类型，再用strings查看字符串特征，判断是不是真的病毒。我遇到过好几次误报，把正常业务脚本当病毒删了，导致服务挂了半小时。
CentOS服务器出现哪些表现说明可能中毒了
服务器中毒往往有迹可循。CPU使用率持续的异常飙升是最明显的信号，比如平时只有5%的占用率，突然长期保持在80%以上，而且不是业务高峰期。这时候用top命令看进程，会发现一些奇怪的名字，比如随机字符串或者伪装成系统进程的名称，比如“kworker”这种看似正常的名字redhat linux 9.0，但其实多了几个字母。
网络连接异常也是重灾区。用netstat -anp | grep ESTABLISHED查看已建立的连接，如果发现服务器在跟国外IP或者非业务端口的IP建立大量连接，基本可以断定有问题。我还见过一种情况：服务器的出站流量异常增大，但业务本身没有下载动作，这时候很可能在向外发送数据，比如挖矿程序或者后门在回传信息。
系统日志的变化同样值得警惕。检查/var/log/messages和/var/log/secure，如果发现大量的登录失败记录centos 病毒查杀，或者某个非root用户的cron任务突然增多，都可能是病毒留下的后门。我自己处理过一个案例，病毒在/etc/cron.d/里写了一个每5分钟执行一次的脚本，下载恶意程序到本地执行。
有哪些Linux系统自带命令可以辅助查杀
不一定要装第三方工具，CentOS系统自带的一些命令在排查病毒时非常管用。lsof命令可以列出所有打开的文件和网络连接，用lsof -i查看网络状态，用lsof +L1查找被删除但仍然被进程占用的文件，很多病毒会把自己隐藏成这种方式。
ps auxf命令配合grep可以快速定位可疑进程，但要注意病毒可能会伪装进程名。我习惯用ps -eo pid,ppid,cmd,etime | sort -k4 | head -20来查看最近启动的进程，因为病毒通常是在系统启动后不久被激活的。如果某个进程的启动时间特别短，但PID很大，说明它是后来创建的centos 病毒查杀，值得深入检查。
ls -la /proc/[pid]/exe可以查看进程对应的可执行文件路径，再用md5sum计算哈希值，去virustotal网站查一下就知道是不是恶意软件。另外，find / -type f -perm -4000 -o -perm -2000可以查找设置了SUID或SGID位的文件，这些文件如果被篡改，很容易成为提权工具。
查杀后如何防止CentOS再次中毒
清理完病毒只是第一步，防止二次感染才是关键。我建议从系统层面做几件事：关闭不必要的服务端口，用firewall-cmd或者iptables限制只开放业务需要的端口。很多病毒是通过扫描开放端口入侵的，比如Redis、Docker、SSH这些服务的默认端口，如果暴露在公网且密码弱，等于给黑客开门。
定期更新系统补丁也不能忽视。yum update --security可以只安装安全更新，不影响业务。我见过太多因为内核漏洞导致的入侵，比如脏牛、Dirty Pipe这些提权漏洞，修复方法就是及时打补丁。另外，SSH配置要改成禁止root直接登录，使用密钥认证，并且修改默认端口，这些基本操作能挡住90%的暴力破解。
文件完整性检查也值得做。用aide或者tripwire这类工具记录关键系统文件的哈希值adobe air linux，定期对比，一旦发现变化就报警。我自己部署了ossec作为入侵检测系统，能实时监控日志变化和文件改动，比事后查杀效率高得多。
