1. 查看异常连接的网络端口及其对应的相应的进程
netstat -anlp | grep EST
2.看下相关的进程ID对应的可执行文件的位置
ps 2393 可以看到进程的可执行文件在哪？
3.临时关闭网关，切断病毒程序已外网的连接
route del default gw 119.90.54.161
4. 进入开机启动的文件夹 /etc/rc.d/init.d /etc/init.d 以及 定时任务的文件夹按照新建日期，是否是异常文件
ls -lRt | more 按倒序排列
原文：http://www.cnblogs.com/oftenlin/p/4565154.html