1. 查看异常连接的网络端口及其对应的相应的进程

netstat -anlp | grep EST

2.看下相关的进程ID对应的可执行文件的位置

ps 2393 可以看到进程的可执行文件在哪？

3.临时关闭网关，切断病毒程序已外网的连接

route del default gw 119.90.54.161

4. 进入开机启动的文件夹 /etc/rc.d/init.d /etc/init.d 以及  定时任务的文件夹按照新建日期，是否是异常文件

ls -lRt | more 按倒序排列