@af463419014 @araraloren @d0m2o08 @gaoyulong @hand515 @hcymk2 @ilyh @gaoyulong @LykanSec @liuxu @luozic @msg7086 @nicevar @raynor2011 @whatever93 @xiaqi 大家，我终于解决了。有了 root 权限以后，我直接进到有问题的进程里面，就是 `cd /proc/59216/` 然后 `ls -l exe` 定位到了可执行程序的位置。然后我看了可执行程序所在的文件夹内的文件内容后发现，这个进程确实伪装成了 ntpd 进程。然后我发现这个程序下面还有一个 cron.d 的文件，应该是设置自动启动服务的。所以我在 pxu 用户下面的自动启动服务中删掉有问题的，然后把那个可执行文件所在的文件夹整个删除掉了。就没有出现过这个问题了。在找命令的过程中，我还发现了一个博客和我的问题一致：[服务器被入侵事件小记]( http://ws.nju.edu.cn/blog/2018/01/%E6%9C%8D%E5%8A%A1%E5%99%A8%E8%A2%AB%E5%85%A5%E4%BE%B5%E4%BA%8B%E4%BB%B6%E5%B0%8F%E8%AE%B0/)。再次感谢大家 WW

@CodingDoge 我自己接手了，就不外包了. @nodin 不转包了～自己上手，嘿嘿 @lansh2014 估计是这样的～

@MuscleOf2016 @PHPer233 @Zeonjl 好的好的，谢谢大家的回复。现在我想的是如果用 native react 去写的话，这样就一份代码就能搞定安卓端和 IOS 端了。这样就一个后台管理和一个份客户端的代码就好吧？

@JAVAER @MuscleOf2016 谢谢两位的回复，那请问需不需要再找比如系统架构师之类的，以及专门来设计后台接口的人之类的。因为现在拿到的就只是简单的需求文档，其他的东西都没有。对方说了不需要我来设计 UI，他们会给。。

@nicevar 好的好的～但是现在的话，如果已经被攻击了，是不是这些方法无法处理已经被攻击的服务器？感觉上是进行防范的操作。所以我想问一下通常是先进行修补还是先把攻击的木马或脚本清除出去？

@luozic 哦哦～可是这台服务器我用 which ntpd 命令的时候，并没有发现 ntpd 的可执行文件。。所以我在猜这个 ntpd 进程是不是伪装的。

@luozic 那如果现在已经被 ddos 攻击的话，我不公开地址可以阻止它继续攻击么。。。。

大家，我执行完 strace 了。我怕后面的人看前面的东西不方便，所以就把咱们讨论的过程整理了一下，放在这个地方了
http://123.206.31.250/blog/tutorials/ntpd/
在最下面是 strace 的执行结果。
@xiaqi @msg7086 @luozic @LykanSec @liuxu @jasonyang9 @af463419014 @ilyh @nicevar @d0m2o08 @hand515 @araraloren ......以及其他没有被 @的人～谢谢大家的对我的帮助。

@xiaqi 我看了 /etc/crontab 里面的内容：
# m h dom mon dow user command
17 * * * * root cd / && run-parts --report /etc/cron.hourly
25 6 * * * root test -x /usr/sbin/anacron || ( cd / && run-parts --report /etc/cron.daily )
47 6 * * 7 root test -x /usr/sbin/anacron || ( cd / && run-parts --report /etc/cron.weekly )
52 6 1 * * root test -x /usr/sbin/anacron || ( cd / && run-parts --report /etc/cron.monthly )
这部分没有什么问题的。

@luozic 好的好的～明天我尝试修改 ssh 端口～谢谢您 WW

不然明天我再向你们请教吧～我现在还不是 root 用户。。T T 掌管 root 用户的人回家了。。估计是不会把 sudo 用户的权限给我的。。我明天问问他看看执行结果如何～今天真是谢谢大家了 @jasonyang9 @liuxu @LykanSec ...大家是不是也到了吃饭的时间了 WW ～快去吃饭吧～

@jasonyang9 哦哦～～谢谢你～～稍稍放心了一下。。。我还以为这个坏东西在服务器上自己建立了一个账户。。

@jasonyang9 我用 who 命令查看了一下当前的用户有哪些。。然后发现 pxu 竟然有两个。。。

pxu :0 2018-05-21 09:13 (:0)
pxu pts/0 2018-05-21 09:32 (:0)
ffeng pts/43 2018-07-17 16:07 (116.76.254.5)

@liuxu 我输入了以后它打印的信息是这样的

strace: attach: ptrace(PTRACE_ATTACH, ...): Operation not permitted
Could not attach to process. If your uid matches the uid of the target
process, check the setting of /proc/sys/kernel/yama/ptrace_scope, or try
again as the root user. For more details, see /etc/sysctl.d/10-ptrace.conf

@jasonyang9 而且那个 59216 进程它运行的时间是 126135:18 这么多。。那个 4574 的进程运行时间就只有 29:04 这些。。。

@jasonyang9 恩恩。。我想找它的父进程和运行文件也找不到。。图是在上面的回复中 problem5.png 里面。

@LykanSec 图在这个地方 http://123.206.31.250/problem5.png

@LykanSec 您看我这样操作去找父进程和运行文件对不对。。http://123.206.31.250/problem5.png 。是不是它伪装起来了。。。T T

@af463419014 是我自己创建的用户的～谢谢你啦～我再找找哪个地方有问题。。不过现在这个服务器的 SSH 端口确实是 22。。。那如果我要改的话，是不是我改完了然后再把这个进程杀掉。这样他就不会很快的找到我了～