top'先确定进程名和PID

top

systemctl status pid (进程ID不同自我查询替换)

pkill -u xiao
#停止这个用户所有进程

找源文件

[scode type="red"]注意这里有个坑，他是隐藏目录，加-a参数[/scode]

确定文件全部在这里，（不保证有没有其他的文件，不要相信我这句话）

who确定是否有其他人登录，没有，然后删除掉这个用户所有内容

userdel -r xiao

感谢宝塔运维-赤井秀一大佬的解答,并且大佬建议安装宝塔企业版的防护有效的解决此类问题

下面是群完整聊天记录