Debian服务器一旦出现CPU异常占用、陌生进程、网络流量突增或者日志被清空，基本可以判断需要立即做病毒查杀与安全加固。很多人习惯先装杀毒软件再全盘扫描，但Debian生产环境真正有效的处理顺序应该是：先确认入侵迹象和持久化点，再隔离可疑进程与文件，最后才是扫描和清理。因为如果攻击者已经通过计划任务或systemd服务留下后门，单纯扫描文件系统很难根除问题。
先定位异常进程与网络连接登录服务器后第一件事不是盲目安装工具，而是查看当前进程和网络状态。执行以下命令列出所有进程及其启动命令：
ps auxww
重点观察进程的USER、CPU、MEM和COMMAND列。如果看到以www-data、nobody等低权限用户运行的进程却占用了大量CPU，或者启动命令指向/tmp、/var/tmp、/dev/shm等可写目录，基本可以判定为恶意进程。接着查看网络连接：
ss -tunap
关注ESTABLISHED状态的外部连接，尤其是连接到非常用端口的进程。很多Linux挖矿木马和反弹Shell都会建立持续外连。如果发现可疑PID，立即用以下命令查看其完整路径和打开的文件：
ls -l /proc/PID/exe cat /proc/PID/cmdline
确认是恶意进程后，先将其挂起或终止，但不要急着删除文件，保留样本有助于后续分析入侵途径。
检查持久化后门与启动项Debian系统中攻击者最常利用的持久化位置包括crontab、systemd服务、/etc/rc.local、/etc/profile以及SSH authorized_keys。逐一检查：
crontab -l ls -la /etc/cron.d/ /etc/cron.hourly/ /etc/cron.daily/ systemctl list-unit-files --type=service | grep -v debian
特别注意那些没有描述、指向/tmp或/var/tmp路径的service文件。查看systemd服务内容：
systemctl cat 可疑服务名
同时检查所有用户的crontab文件：
for user in $(cut -f1 -d: /etc/passwd); do echo "=== $user ==="; crontab -u $user -l 2>/dev/null; done
很多木马会同时写入多个用户的crontab，每隔几分钟拉取远程脚本执行。另外检查/root/.ssh/authorized_keys和/etc/ssh/sshd_config中是否被添加了陌生公钥或允许密码登录的配置变更。
使用ClamAV进行病毒扫描Debian官方仓库自带的ClamAV虽然查杀率不如商业产品，但对常见Linux木马、WebShell和挖矿程序有不错的检出能力。安装：
apt update apt install clamav clamav-daemon
安装后先更新病毒库：
systemctl stop clamav-freshclam freshclam
如果服务器内存较小，建议使用clamscan按目录扫描而不是启动daemon。扫描关键目录：
clamscan -ri /tmp /var/tmp /dev/shm /home /var/www /root --exclude-dir=/proc --exclude-dir=/sys --exclude-dir=/run
参数-r表示递归扫描，-i只显示被感染的文件。扫描大型目录时可能耗时较长，可以先扫描/tmp和/var/tmp这些攻击者最常放置恶意文件的位置。如果发现感染文件，使用--remove参数删除，但建议先备份到隔离目录：
mkdir /root/quarantine clamscan -ri /tmp /var/tmp /dev/shm --move=/root/quarantine
ClamAV对ELF格式的Linux恶意程序检测能力有限，如果扫描结果干净但服务器仍然异常，需要使用更深入的方法。
使用rkhunter和chkrootkit检测RootkitRootkit是Linux服务器最危险的威胁之一，它会替换系统命令或内核模块来隐藏恶意活动。Debian仓库提供两个经典工具：
apt install rkhunter chkrootkit
rkhunter会检查系统二进制文件的哈希值、隐藏进程、可疑内核模块和常见的Rootkit特征。运行：
rkhunter --check --skip-keypress
检查完成后查看日志/var/log/rkhunter.log，重点关注Warning部分。如果系统刚更新过软件包，rkhunter可能会报告文件哈希变化，这是正常现象。chkrootkit运行更简单：
chkrootkit
它会检查已知Rootkit的特征文件和进程。两个工具结合使用可以提高检出率。需要注意的是，rkhunter和chkrootkit本身也可能被高级Rootkit欺骗，如果服务器已经被深度入侵，最可靠的做法是从干净的Debian安装介质启动后进行离线检查。
审计系统文件完整性Debian的dpkg包管理系统自带文件完整性校验功能。使用以下命令检查所有已安装软件包的文件是否被篡改：
dpkg --verify
输出中如果出现“5”表示MD5校验和不匹配，“M”表示文件权限被修改。重点关注/bin、/sbin、/usr/bin、/usr/sbin目录下的核心命令是否被替换。如果发现ls、ps、netstat等常用命令被篡改，说明系统已经被安装了用户态Rootkit。此时不能信任系统内的任何命令，需要使用静态编译的BusyBox或从其他干净系统复制二进制文件来进行后续操作。
清理与修复被篡改的系统确认恶意文件和进程后，需要系统性地清理。首先终止所有恶意进程：
kill -9 PID1 PID2 PID3
删除恶意文件和相关持久化项：
rm -f /tmp/恶意文件 /var/tmp/恶意文件 crontab -r # 仅当确认当前用户crontab完全被恶意写入时使用 rm -f /etc/cron.d/恶意任务 systemctl disable 恶意服务名 rm -f /etc/systemd/system/恶意服务名.service systemctl daemon-reload
如果dpkg --verify显示系统命令被篡改，需要重新安装对应的软件包来恢复原始文件：
apt install --reinstall coreutils procps net-tools
对于被替换的库文件，使用debsums工具可以更精确地定位：
apt install debsums debsums -c
这会列出所有校验和不匹配的文件，然后针对性地重新安装所属软件包。
系统安全优化与加固清理完成后必须进行安全加固，否则很快会再次被入侵。首先是SSH配置，编辑/etc/ssh/sshd_config：
PermitRootLogin no PasswordAuthentication no PubkeyAuthentication yes MaxAuthTries 3 ClientAliveInterval 300 ClientAliveCountMax 2
重启SSH服务使配置生效。如果必须保留密码登录，至少使用强密码策略并配合fail2ban：
apt install fail2ban systemctl enable fail2ban systemctl start fail2ban
配置防火墙，Debian默认使用nftables或iptables。简单策略示例：
apt install nftables
systemctl enable nftables
nft add table inet filter
nft add chain inet filter input { type filter hook input priority 0 \; policy drop \; }
nft add rule inet filter input ct state established,related accept
nft add rule inet filter input iif lo accept
nft add rule inet filter input tcp dport 22 accept
nft add rule inet filter input tcp dport 80 accept
nft add rule inet filter input tcp dport 443 accept
只开放必要的端口，其他一律拒绝。同时限制可写目录的执行权限，攻击者经常利用/tmp和/dev/shm放置并执行恶意程序：
echo "tmpfs /tmp tmpfs defaults,noexec,nosuid,nodev 0 0" >> /etc/fstab echo "tmpfs /dev/shm tmpfs defaults,noexec,nosuid,nodev 0 0" >> /etc/fstab mount -o remount /tmp mount -o remount /dev/shm
这能有效阻止大部分自动化的恶意软件在临时目录中执行。
定期更新与日志监控Debian的安全更新非常及时，保持系统更新是防止已知漏洞被利用的最有效手段。配置自动安全更新：
apt install unattended-upgrades dpkg-reconfigure unattended-upgrades
同时启用审计日志，记录关键文件的访问和修改：
apt install auditd systemctl enable auditd systemctl start auditd auditctl -w /etc/passwd -p wa -k passwd_changes auditctl -w /etc/shadow -p wa -k shadow_changes auditctl -w /etc/ssh/sshd_config -p wa -k sshd_config_changes auditctl -w /root/.ssh/authorized_keys -p wa -k ssh_keys_changes
定期检查/var/log/auth.log中的失败登录记录，以及/var/log/syslog中的异常服务启动信息。如果发现大量来自同一IP的SSH暴力破解尝试，及时在防火墙层面封禁。
Debian服务器的病毒查杀与安全优化不是一次性工作，而是需要建立常态化的检查机制。建议每周执行一次rkhunter检查，每月执行一次ClamAV全盘扫描，同时保持对进程、网络连接和日志的日常监控。入侵发生后，如果无法确定攻击者是否已经获取root权限并植入内核级Rootkit，最安全的做法是备份数据后重装系统，而不是在已被深度控制的系统上继续清理。
