一、先看资源是否异常 服务器一旦出现挖矿迹象，先看的是 CPU、磁盘和网络是否同时异常。挖矿程序最爱把资源拉高，但又不一定马上影响网站表面，所以很多人只看到机器变慢，却没意识到是后台在偷偷跑。资源异常如果持续很久，通常就不能只按性能问题来看，而要按安全事件来处理。

二、再看进程和定时任务 除了资源占用，还要看有没有陌生进程、异常定时任务、可疑外联地址，以及夜里也不停运行的服务。挖矿程序很喜欢用定时任务、启动脚本和隐藏目录来反复拉起自己，所以只看“当前进程”往往不够。对于客户来说，如果进程名字陌生、启动时间不合理、退出后又马上回来，这些都要继续追查。

三、观察是否存在外联和重复下载 很多挖矿程序不是单独存在的，它背后通常还有下载器和控制地址。机器表面上像是在跑任务，实际可能在不停向外请求脚本或配置。你可以把它理解成一套“拉起机制”，只要拉起源头不关，进程被停掉也会再回来。只结束可见进程，往往治标不治本。

四、结论 持续发热、风扇狂转、访问卡顿，这些都可能是在提醒你有隐蔽程序在工作。只要机器在没有业务高峰的情况下长期高占用，就不要只当成性能问题，应该优先按安全事件处理。