注意UID为0的进程
使用ps -ef命令查看进程

察看该进程所打开的端口和文件
[root@bastion-IDC ~]# lsof -p pid命令查看

检查隐藏进程
[root@bastion-IDC ~]# ps -ef | awk '{print }' | sort -n | uniq >1
[root@bastion-IDC ~]# ls /porc |sort -n|uniq >2
[root@bastion-IDC ~]# diff 1 2