服务器tmp文件夹一直有类似file0eVytb文件，进程中也存在对应名字的占用。
在tmp文件使用ls命令，能显示很多个类似file0eVytb文件，ls命令显示结果也很慢。
在文件管理器中只显示部分文件，使用rm命令也无法删除。
2 个赞
不是大佬，帮顶。
先用ls命令尝试定位一下进程看看，以图3中的pid为例：
ls -l /proc/2822267/exe
看一下是哪个路径的文件拉起这个进程，搜索一下它的名称或者父级目录的名称一般就能知道是干什么的了。
1 个赞
感谢大佬，提供的思路。
根据你提供的思路，然后我又找了相关的命令。
已经找到了它的相关信息。
发现它是父进程是/usr/bin/bash
还是有些不放心，这些不像是bash自己会创建的文件，如果你有时间可以用auditd组件再挖一下，或许能有新发现。
组件的安装你可以按你的发行版或者包管理器搜一下。审计步骤如下：
- 写入临时的审计规则：
auditctl -w /tmp -p rwxa - 查看输出日志，路径为
/var/log/audit/audit.log
由于/tmp目录会被各种进程频繁操作，日志内容会非常多和杂，善用关键词搜索定位 比如name="/tmp/file。
1 个赞
非常感谢大佬，我也确实不太放心，这些文件名字太怪了，我去试一下您说的方法。
我建议给文件拉出来看看
1 个赞
拉出来看了一下，都是乱码，文件也很大14mb。
感觉有点蹊跷
90概率出事了。
tmp目录下可执行文件在执行，就两种可能
1.你在调试代码。
2.你在安装软件。
看你描述，明显都不是。
1 个赞
刚才安装说的auditd组件提示：
debconf: unable to initialize frontend: Dialog
debconf: (No usable dialog-like program is installed, so the dialog based frontend cannot be used. at /usr/share/perl5/Debconf/FrontEnd/Dialog.pm line 78, <> line 2.)
debconf: falling back to frontend: Readline
E: Sub-process /usr/sbin/dpkg-preconfigure --apt || true returned an error code (255)
E: Failure running script /usr/sbin/dpkg-preconfigure --apt || true
使用sudo apt update和sudo apt-get update
提示：Unknown error executing apt-key
搜了一下相关的解决方法也仍然提示这个错误。
感觉出事了。
我也感觉出事了。
刚才安装 deep1nlife大佬所说的auditd组件提示：
debconf: unable to initialize frontend: Dialog
debconf: (No usable dialog-like program is installed, so the dialog based frontend cannot be used. at /usr/share/perl5/Debconf/FrontEnd/Dialog.pm line 78, <> line 2.)
debconf: falling back to frontend: Readline
E: Sub-process /usr/sbin/dpkg-preconfigure --apt || true returned an error code (255)
E: Failure running script /usr/sbin/dpkg-preconfigure --apt || true
使用sudo apt update和sudo apt-get update
提示：Unknown error executing apt-key
搜了一下相关的解决方法也仍然提示这个错误。
感觉出事了。
是不是用了已弃用的仓库或不再支持的第三方仓库
1 个赞
查一下服务器的外联，看看该进程对应的ip，把ip丢到微步在线看看ip是不是恶意ip
2 个赞
应该没有，刚才试了清华源、阿里源和官方源都不行，这个服务器也是新装的，只安装了miniconda和torch环境，和frp内网穿透。
方便发个文件看看嘛，挺好奇的，他怎么这么大
1 个赞
我已经上传到网盘里面了，解压密码是：123。
https://wwzm.lanzoub.com/iWbj828rtelc
感谢大佬提供的思路，我去尝试一下，现在服务器没法直接使用apt安装软件，我去寻找一下离线安装流量监控组件的方法。
直接netstat -anp简单看看