排查挖矿程序可以通过以下步骤进行：
系统资源监控
使用 `top` 或 `htop` 等命令行工具定期检查服务器的 CPU 和内存使用情况，异常高的使用率可能是挖矿行为的迹象。
利用 `iftop` 或 `nload` 等工具监控网络带宽，异常高的网络流量可能表明服务器正在与挖矿池通信。
通过 `iostat` 等工具监控磁盘读写操作，挖矿行为可能导致磁盘 I/O 异常。
进程与服务检查
使用 `ps` 和 `top` 命令查看当前运行的进程，寻找未知的、高 CPU 利用率的进程，可能是挖矿进程。
检查自启动服务，使用 `systemctl list-unit-files` 或 `/etc/init.d` 命令列出所有自启动服务，查找可疑的自启动程序。
分析进程网络连接，使用 `netstat` 或 `ss` 命令查看进程的网络连接，特别是与未知IP地址的通信。
日志审查
查看 `/var/log/syslog`、`/var/log/messages` 等系统日志文件，搜索与挖矿相关的关键词，如“miner”、“mining”、“cryptocurrency”。
检查应用程序的日志文件，寻找异常的活动记录或来自未知来源的网络流量。
分析安全日志，查找异常的登录尝试或可疑的活动。
文件与目录检查
使用 `find` 和 `locate` 等命令搜索服务器上的可疑文件和目录，特别是 `/tmp`、`/var/tmp` 等临时目录。
检查进程运行目录，使用 `pwdx PID` 命令查看进程的工作目录，并进入该目录检查最近修改的文件。
其他辅助手段
如果有条件，可以使用安全设备（如防火墙、入侵检测系统）来检测挖矿流量特征和预警。
对于疑似挖矿进程，可以使用 `kill -9 PID` 命令杀死进程，并删除相关文件。
系统更新和补丁
及时更新服务器操作系统和相关软件的安全补丁，减少被挖矿程序利用的漏洞。
定期进行服务器安全扫描，以发现和清除潜在的安全威胁。
安全防护
部署防火墙、入侵检测系统和安全监测工具，提高服务器的安全性。
非必要的服务器一律不连互联网，服务器内网之间有条件的话做好隔离，防止被入侵的主机横向扩展。
通过上述步骤，可以系统地排查和清除服务器上的挖矿程序，并采取相应措施防止再次遭受攻击。