一、查看当前登录用户 w
查看是否有异常用户登录，有则强制断开该用户 pkill -kill -t
二、查看用户登录服务器的ip信息 last
信息会存入 /var/log/secure 文件中（注意是否删除）
三、history 曾今做过什么
注意有没有使用wget 或 curl 等命令
四、top 查看进程（详解百度，不赘述）
五、ps auxf 清晰信息
（因为消耗cpu不严重的未授权进程可能不会再top中显露出来）
六、iftop （功能类似于top）
排列显示收发网络数据的进程以及他们的原地址和目的地址。
扫描二维码关注公众号，回复：
2001214 查看本文章
我为人人，人人为我；美美与共，天下大同；