1

mv /bin/ps /bin/ps.malicious  # 重命名恶意文件，避免直接覆盖

1

2

3

4

5

# 强制重装 procps-ng（包含 ps/top 等工具）

yum reinstall -y procps-ng

# 若提示包损坏/无法下载，先清理缓存再重装

yum clean all && yum makecache && yum reinstall -y procps-ng

1

2

3

4

5

6

7

8

9

10

11

# 1. 检查文件大小（应恢复到 ~100KB）

ls -l /bin/ps

# 2. 检查 MD5（恢复正常）

md5sum /bin/ps

# 3. 检查 type -a（正常应为 /bin/ps，/usr/bin/ps 是软链接）

type -a ps

# 4. 测试 ps 功能（只输出目标进程，无多余内容）

ps -ef | grep 'efl-server.jar' | grep -v grep

1

2

3

4

5

6

7

8

9

# ls -l /bin/ps 正常输出

-rwxr-xr-x. 1 root root 108880 6月  10 2024 /bin/ps

# type -a ps 正常输出

ps is /bin/ps

ps is /usr/bin/ps  # /usr/bin/ps 是软链接，属于正常

# ps 测试正常输出（仅显示 efl-server.jar 进程）

root     14823  0.7  2.9 23063456 1921232 ?     Sl   09:50   0:08 java -jar ... efl-server.jar

1

2

3

4

5

6

7

8

9

# 检查 /usr/bin/ps 是否为软链接（正常应为指向 /bin/ps）

ls -l /usr/bin/ps

# 若不是软链接，删除后重建

rm -f /usr/bin/ps

ln -s /bin/ps /usr/bin/ps

# 验证

type -a ps

1

2

3

4

5

# 精准查找 efl-server.jar 进程（只输出目标，无系统进程）

ps -ef | grep 'efl-server.jar' | grep -v grep

# 批量终止进程（恢复正常功能）

pgrep -f 'efl-server.jar' | xargs kill -9