查看脚本进程号
top c
可以查到不正常的经常为
1040853
根据进程号检查脚本是否有守护进程，有守护进程的话记录守护进程号
systemctl status 1966
找到守护进程号
1151445
1934783
删除脚本守护进程，删除关联文件位置
kill -9 1000959
kill -9 1373036
rm -rf /tmp/X11-unix/
清除脚本并find查找下其他位置是否也存在脚本(注意文件路径)
find / -name systemd-private*
rm -rf .systemd-private-yBe7DfpdIoDC1zjivJstmGECarXGMTSD.sh
rm -rf /opt/systemd-private-KosF6fONbkTbVcljJkxrTVxgnOkVLcj.sh
删除
rm -rf /etc/cron.d/0systemd-private-KosF6fONbkTbVcljJkxrTVxgnOkVLcj
7、开启cron.log日志记录
参考：https://blog.csdn.net/keyunq/article/details/7466202
8、检查hosts和ssh密钥是否有异常(可不做)
9、检查登录IP记录(可不做)
centos7: cat /var/log/secure | awk '/Failed/{print $(NF-3)}'|sort|uniq -c|awk '{print $2"="$1;}'
ubuntu: cat /var/log/auth.log | awk '/Failed/{print $(NF-3)}'|sort|uniq -c|awk '{print $2"="$1;}'
10、定时观察次啊cron日志(可不做)
grep "systemd-service.sh" /var/log/cron
