核心要点 先看陌生进程有没有持续存在，先把“定时任务”放到最前面看，客户最先感受到的通常不是技术名词，而是访问是否稳定、页面是否正常、业务有没有被打断。 - 启动项和服务自启是高频藏点，排查时要同步核对 - 权限滥用往往会把清理难度放大，最好先收口 - 负载、进程和外联地址要一起看，挖矿问题很少只体现在一个位置

关键方法 如果外联地址稳定出现，先把它记下来，再处理相关脚本和启动项。清理完不要忘记同步检查下载器、缓存和脚本残留。围绕“定时任务”处理时，不要急着一次性改太多，先把范围收窄，再判断是入口问题、配置问题还是残留问题。 如果现场还没有完全恢复，先保住回滚点、日志和备份，再继续下一步，这样后面复盘会更清楚，也不容易误伤正常业务。

注意事项 清理前先保留进程和日志证据。权限没收紧，问题可能还会回来。复查一遍，往往能少掉很多返工。