Linux重装异常疑似黑客攻击遗留问题求助

兄弟，先别太焦虑，咱们一步步拆解你遇到的这些问题——被黑过之后留阴影太正常了，谨慎点绝对不是坏事！

关于启动时/tmp目录已满的问题 #

正常情况下，绝大多数Linux发行版的/tmp是基于tmpfs的临时文件系统，重启后会自动清空，刚启动就满肯定反常。大概率有两种可能：

• 安装介质本身被篡改了：先去官方网站重新下载镜像，务必验证镜像的哈希值（比如SHA256），确保文件没被恶意修改。
• 旧磁盘上残留了恶意文件：用Live USB启动系统，不要挂载原有分区，先通过lsblk确认磁盘设备，然后直接用dd if=/dev/zero of=/dev/sda bs=1M count=100（把sda换成你的目标磁盘）清空磁盘开头的引导区和分区表，彻底抹掉旧数据的遗留痕迹，之后再重新分区安装。

关于VM中安装时莫名分区的问题 #

这个得先区分是操作问题还是恶意残留：

• 如果是你选了「自动全盘安装」，很多发行版会默认创建多个分区（比如单独的/boot、/home），这是正常操作，但如果你没勾选自动分区却还是多出分区，那就要警惕了。
• 另一种可能是你的宿主系统也被感染了，导致VM安装包或虚拟机配置被篡改。建议先给宿主系统做一次全面杀毒，然后删除旧的虚拟机文件，重新创建全新的虚拟机，安装时选择「手动分区」，全程盯着每一步的分区设置，避免自动分区带来的意外。

针对黑客遗留问题的终极稳妥方案 #

既然明确被黑过，别抱着「说不定残留不多」的侥幸心理，最彻底的做法是：

1. 全盘格式化所有磁盘：不要只格式化系统分区，黑客可能在MBR、EFI引导区甚至隐藏分区里留了后门，用Live USB启动后，对每个磁盘执行全盘擦除（比如用dd if=/dev/zero of=/dev/sda，注意这个操作会销毁所有数据，提前做好备份！）。
2. 检查BIOS/UEFI设置：重启后进入BIOS，恢复默认设置，然后设置BIOS密码，防止黑客篡改启动项。
3. 安装后立刻加固系统：安装完成后第一时间更新所有系统包，启用防火墙（比如ufw enable），关闭不必要的端口，设置复杂度足够的密码，绝对不要下载游戏外挂、破解版软件这类高风险文件——你上次被黑大概率就是因为这类渠道。

别太自责，被黑过之后谨慎是对的，按上面的步骤一步步来，应该能解决这些异常问题。

备注：内容来源于stack exchange，提问作者Kuskie