这是一次挖矿病毒查杀记录
发生时间大约在11月10日前后一两天



### 1️⃣持久化
挖矿病毒通常为了避免被用户kill掉，都会选择持久化，一般来说就是cron和systemd两种选择，所以排查的思路就是查看相关服务或定时任务的配置文件
**先找到“第一次出现矿工/持久化”的大致时间点，后续与登录/访问日志做对齐。**

```
sudo ls -lt /etc/systemd/system | head -n 30
```
这个命令通常用于快速查看最近在系统中被修改、添加或启用的 systemd 服务单元。

输出：

```
-rw-r--r-- 1 root root  135 11月 13 22:08 system.service
drwxr-xr-x 2 root root 4096 11月 10 18:51 default.target.wants
drwxr-xr-x 2 root root 4096 11月 10 18:51 multi-user.target.wants
-rw-r--r-- 1 root root  190 11月 10 18:51 route_forbidden.service
-rw-r--r-- 1 root root  443 11月  9 09:32 ollama.service
drwxr-xr-x 2 root root 4096 11月  5 16:52 snapd.mounts.target.wants
-rw-r--r-- 1 root root  344 11月  5 16:52 snap-gnome\x2d42\x2d2204-226.mount
-rw-r--r-- 1 root root  365 11月  4 16:23 snap-pycharm\x2dprofessional-548.mount
-rw-r--r-- 1 root root  326 11月  4 06:19 snap-core22-2139.mount
-rw-r--r-- 1 root root  329 11月  4 00:54 snap-firefox-7177.mount
-rw-r--r-- 1 root root  338 11月  4 00:54 snap-snap\x2dstore-1216.mount
-rw-r--r-- 1 root root  380 11月  4 00:54 snap-snapd\x2ddesktop\x2dintegration-315.mount
-rw-r--r-- 1 root root  326 11月  4 00:53 snap-snapd-25577.mount
drwxr-xr-x 2 root root 4096 11月  4 00:40 systemd-suspend.service.wants
drwxr-xr-x 2 root root 4096 11月  4 00:40 systemd-suspend-then-hibernate.service.wants
drwxr-xr-x 2 root root 4096 11月  4 00:40 systemd-hibernate.service.wants
drwxr-xr-x 2 root root 4096 11月  4 00:31 sockets.target.wants
lrwxrwxrwx 1 root root   31 11月  3 22:54 sshd.service -> /lib/systemd/system/ssh.service
```

根据时间发生时间进行溯源，system.service,default.target.wants,multi-user.target.wants,route_forbidden.service 极有可能是被黑客动手脚了。


### 2️⃣multi-user.target.wants 目录和 default.target.wants目录
multi-user.target.wants 本质上是一个/etc/systemd/system/multi-user.target.wants/下的`目录`。目录包含了当系统进入多用户命令行模式时，必须自动启动的服务列表。

例如：当使用 `systemctl enable nginx` 命令来让 Nginx 服务开机自启时，systemd 实际上就是在 multi-user.target.wants 目录下创建了一个指向 /usr/lib/systemd/system/nginx.service 的符号链接。

这里因为黑客enable 了route_forbidden.service，所以导致multi-user.target.wants发生了变动。

/etc/systemd/system/default.target.wants/ 目录包含了当系统进入默认目标（无论是 graphical.target 还是 multi-user.target）时，都必须自动启动的服务。


执行以下命令查看wants目录下哪些service最近被修改过：

```shell
ls -lt  /etc/systemd/system/multi-user.target.wants | head -n 10
```
输出：

```
lrwxrwxrwx 1 root root 43 11月 10 18:51 route_forbidden.service -> /etc/systemd/system/route_forbidden.service
lrwxrwxrwx 1 root root 54 11月  5 16:52 snap-gnome\x2d42\x2d2204-226.mount -> /etc/systemd/system/snap-gnome\x2d42\x2d2204-226.mount
lrwxrwxrwx 1 root root 58 11月  4 16:23 snap-pycharm\x2dprofessional-548.mount -> /etc/systemd/system/snap-pycharm\x2dprofessional-548.mount
lrwxrwxrwx 1 root root 32 11月  4 16:05 xrdp.service -> /lib/systemd/system/xrdp.service
lrwxrwxrwx 1 root root 39 11月  4 16:05 xrdp-sesman.service -> /lib/systemd/system/xrdp-sesman.service
lrwxrwxrwx 1 root root 42 11月  4 06:19 snap-core22-2139.mount -> /etc/systemd/system/snap-core22-2139.mount
lrwxrwxrwx 1 root root 43 11月  4 00:54 snap-firefox-7177.mount -> /etc/systemd/system/snap-firefox-7177.mount
lrwxrwxrwx 1 root root 49 11月  4 00:54 snap-snap\x2dstore-1216.mount -> /etc/systemd/system/snap-snap\x2dstore-1216.mount
lrwxrwxrwx 1 root root 66 11月  4 00:54 snap-snapd\x2ddesktop\x2dintegration-315.mount -> /etc/systemd/system/snap-snapd\x2ddesktop\x2dintegration-315.mount
```
根据输出可以看到`/etc/systemd/system/route_forbidden.service` 这个服务被enable了。


然后再查看`default.target.wants`目录下有哪些service被enable了

```
ls -lt /etc/systemd/system/default.target.wants/ | head -n 10
```
输出：

```
lrwxrwxrwx 1 root root 34 11月 10 18:51 system.service -> /etc/systemd/system/system.service
lrwxrwxrwx 1 root root 34 11月  9 09:09 ollama.service -> /etc/systemd/system/ollama.service
```

可以看到system.service是黑客动过手脚的service.

除此之外，按时间顺序列出 /etc/systemd/system/ 目录中所有服务单元文件（.service 文件）的最后修改时间。
执行：

```
sudo | stat -c '%y %n' /etc/systemd/system/*.service | 2>/dev/null | | | sort
```

输出：

```
2025-11-03 22:34:38.116185889 +0800 /etc/systemd/system/dbus-fi.w1.wpa_supplicant1.service
2025-11-03 22:34:38.116185889 +0800 /etc/systemd/system/dbus-org.bluez.service
2025-11-03 22:34:38.116185889 +0800 /etc/systemd/system/dbus-org.freedesktop.Avahi.service
2025-11-03 22:34:38.116185889 +0800 /etc/systemd/system/dbus-org.freedesktop.ModemManager1.service
2025-11-03 22:34:38.116185889 +0800 /etc/systemd/system/dbus-org.freedesktop.nm-dispatcher.service
2025-11-03 22:34:38.116185889 +0800 /etc/systemd/system/dbus-org.freedesktop.oom1.service
2025-11-03 22:34:38.116185889 +0800 /etc/systemd/system/dbus-org.freedesktop.resolve1.service
2025-11-03 22:34:38.116185889 +0800 /etc/systemd/system/dbus-org.freedesktop.thermald.service
2025-11-03 22:34:38.116185889 +0800 /etc/systemd/system/dbus-org.freedesktop.timesync1.service
2025-11-03 22:34:38.116185889 +0800 /etc/systemd/system/display-manager.service
2025-11-03 22:34:38.117185917 +0800 /etc/systemd/system/sudo.service
2025-11-03 22:34:38.117185917 +0800 /etc/systemd/system/syslog.service
2025-11-03 22:54:04.679584528 +0800 /etc/systemd/system/sshd.service
2025-11-09 09:32:22.566007156 +0800 /etc/systemd/system/ollama.service
2025-11-10 18:51:01.284670255 +0800 /etc/systemd/system/route_forbidden.service
2025-11-13 22:08:00.899714204 +0800 /etc/systemd/system/system.service
```


然后排查cron的配置：

```
sudo stat -c '%y %n' /etc/cron*/* /var/spool/cron/crontabs/* 2>/dev/null | sort
```
输出：

```
2019-11-19 23:14:51.000000000 +0800 /etc/cron.daily/cracklib-runtime
2021-10-10 01:14:16.000000000 +0800 /etc/cron.daily/0anacron
2021-10-10 01:14:16.000000000 +0800 /etc/cron.d/anacron
2021-10-10 01:14:16.000000000 +0800 /etc/cron.monthly/0anacron
2021-10-10 01:14:16.000000000 +0800 /etc/cron.weekly/0anacron
2021-12-06 06:59:35.000000000 +0800 /etc/cron.daily/dpkg
2022-01-09 04:02:36.000000000 +0800 /etc/cron.d/e2scrub_all
2022-01-24 23:37:01.000000000 +0800 /etc/cron.daily/logrotate
2022-03-18 03:03:00.000000000 +0800 /etc/cron.daily/man-db
2022-03-18 03:03:00.000000000 +0800 /etc/cron.weekly/man-db
2022-04-08 18:22:23.000000000 +0800 /etc/cron.daily/apt-compat
2023-07-25 02:24:17.000000000 +0800 /etc/cron.daily/apport
```

分析可以发现列出的 /etc/cron*、/var/spool/cron/crontabs/* 没有近期改动（都停在 2019–2023），这说明这波挖矿没有走 cron 持久化，而是专注用 systemd 单元。

到这里基本上确定了黑客持久化通过伪装的system.service和route_forbidden.service进行持久化。入侵的时间应该是在`2025-11-10 18:51:01.284670255`

:::warning{title="注意"}
2025-11-10 18:51:01.284670255 是关键时间点，入侵的时间大概率早于此时
:::

### 3️⃣分析黑客创建的service

```
执行cat /etc/systemd/system/route_forbidden.service
```
输出：

```
[Unit]
Description=System function loader.

[Service]
Type=forking
GuessMainPID=no
Restart=always
RestartSec=10
ExecStart=-/usr/bin/route_forbidden-all

[Install]
WantedBy=multi-user.target
```

这明显不是正常系统服务：名字可疑、ExecStart 指向陌生二进制 /usr/bin/route_forbidden-all，还用 Type=forking + GuessMainPID=no + 前缀 -（忽略失败）来提高“自愈率”。高度可疑的后门/加载器。

`forking` 类型用于那些会自己创建子进程并让父进程退出的传统守护进程。恶意软件经常使用这种类型来迷惑 systemd。主启动程序可以快速执行并退出，而真正的恶意负载在后台作为一个独立的子进程运行。

`GuessMainPID=no` 它明确告诉 systemd：“不要尝试猜测哪个进程是主进程”。这与 Type=forking 结合使用，使得 systemd 很难跟踪到真正的恶意进程PID。这让服务的管理（如 systemctl status 或 systemctl stop）变得不可靠，进一步增强了恶意软件的生存能力。


执行：

```
cat /etc/systemd/system/system.service
```

输出：

```
[Unit]
Description=Custom System Service

[Service]
ExecStart=/usr/bin/system/system
Restart=always

[Install]
WantedBy=default.target
```

/usr/bin/system/system：这个二进制文件是所有恶意行为的执行者。它的功能可能是从挖矿、DDoS攻击到数据窃取或作为勒索软件的加载器。

### 4️⃣其他线索挖掘
执行安全审计命令，专门用于在 Linux 系统日志中搜索未经授权的加密货币挖矿活动迹象。

```
sudo journalctl --no-pager | grep -iE 'xmrig|minerd|kdevtmpfsi|kinsing|watchdog|stratum|pool|nanopool|monero'
```

输出：

```
11月 13 22:07:59 james-Precision-7920-Tower kernel: NMI watchdog: Enabled. Permanently consumes one hw-PMU counter.
11月 13 22:07:59 james-Precision-7920-Tower kernel: DMA: preallocated 4096 KiB GFP_KERNEL pool for atomic allocations
11月 13 22:07:59 james-Precision-7920-Tower kernel: DMA: preallocated 4096 KiB GFP_KERNEL|GFP_DMA pool for atomic allocations
11月 13 22:07:59 james-Precision-7920-Tower kernel: DMA: preallocated 4096 KiB GFP_KERNEL|GFP_DMA32 pool for atomic allocations
11月 13 22:08:03 james-Precision-7920-Tower system[1380]:  * ABOUT        XMRig/6.21.0 gcc/5.4.0 (built for Linux x86-64, 64 bit)
11月 13 22:08:03 james-Precision-7920-Tower system[1380]:  * POOL #1      king.markrege.shop:80 algo auto
11月 13 22:08:03 james-Precision-7920-Tower system[1380]:  * POOL #2      king.markrege.shop:443 algo auto
11月 13 22:08:04 james-Precision-7920-Tower rtkit-daemon[1675]: Watchdog thread running.
11月 13 22:08:09 james-Precision-7920-Tower system[1380]: [2025-11-13 22:08:09.948]  net      use pool king.markrege.shop:443 TLSv1.3 194.62.122.80
11月 13 22:08:09 james-Precision-7920-Tower system[1380]: [2025-11-13 22:08:09.981]  net      use pool king.markrege.shop:80  194.62.122.80
```

这下基本上可以进行取证了，机器在 22:07:59 刚启动（内核 NMI watchdog 日志），22:08:03 system 进程（由 system.service 启动）立刻加载 XMRig，并连到 king.markrege.shop:80/443（解析到了 194.62.122.80）。
说明 system.service 确实是挖矿持久化，且随开机自启。


### 分析root执行的命令

执行以下命令查看root 用户的 bash 命令历史记录文件
```
sudo  cat /root/.bash_history
```
输出：

```
bash <(curl -sSL https://linuxmirrors.cn/main.sh)
ls
curl -fsSL https://tailscale.com/install.sh | sh
tailscale up
tailscale netcheck
ls
kill 71008
ls
cd /mnt
ls
ls -a
cd
ls
cd /home/james
ls
tar -xvf l.tar.gz
./tree -a kawpow -o stratum+ssl://127.0.0.1:1602 -u RG8hkuPjjPKYjeuPa3MDyX9FTDjxSoWtdU.RIG --no-watchdog --no-strict-ssl
ls
nano root.sh
./root.sh
nvidia-smi
ls
```
可以看到攻击者上传了l.tar.gz压缩包，并执行了挖矿命令，其中-a kawpow:
-a 很可能代表“算法（algorithm）”。
kawpow 是一种特定的工作量证明（Proof-of-Work）挖矿算法。使用此算法的最著名的加密货币是 Ravencoin (RVN)。这明确告诉我们攻击者在挖什么类型的币。

-o stratum+ssl://127.0.0.1:1602 它没有直接连接到互联网上的公共矿池，而是连接到本地（localhost）的1602端口。这通常意味着攻击者在你的服务器上还运行了另一个代理程序（proxy）。这个代理程序监听1602端口，接收tree矿工的连接，然后再将流量转发到真正的外部矿池。这样做有几个好处

-u RG8hkuPjjPKYjeuPa3MDyX9FTDjxSoWtdU.RIG
-u 代表“用户（user）”或“钱包地址（username）”。
RG8hkuPjjPKYjeuPa3MDyX9FTDjxSoWtdU 这长长的一串字符，就是攻击者的Ravencoin钱包地址。所有挖矿产生的收益都会打到这个地址里。这是非常有价值的线索。
.RIG 是矿工名（Worker Name）。攻击者用它来标识是哪台被黑的机器在为他工作。

### 恶意文件分析
不要立即删除 /usr/bin/route_forbidden-all！ 先对它进行取证分析：
file /usr/bin/route_forbidden-all：查看文件类型（是二进制程序还是脚本）。
strings /usr/bin/route_forbidden-all | less：查看文件中包含的可打印字符串，可能会发现IP地址、域名、命令等线索。
sha256sum /usr/bin/route_forbidden-all：计算其哈希值，然后去 VirusTotal 等在线平台查询是否为已知的恶意软件。
备份该文件到一个安全的地方（比如压缩并加密），以备后续分析。


### 全面排查

攻击者不可能只留下这一个东西。你需要：
检查 crontab (crontab -l for root and other users)。
检查 /etc/rc.local 和其他启动脚本。
检查用户的 .bashrc, .profile 等文件是否有可疑命令。
检查 /root/.ssh/authorized_keys 和其他用户的 authorized_keys 是否有未知的公钥。
检查 last 和 who 命令，看是否有可疑的登录历史。
使用 ss -antp 或 netstat -antp 查看是否有其他异常的网络连接。

挖矿病毒查杀记录

frp作为一个内网穿透服务，可以很方便的让我们通过跳板服务器访问内网服务器，本文将简单讲述如何部署frps和frpc的服务，并利用linux的service保障服务在重启后可以自动启动。




### 1️⃣下载frp压缩包
从https://github.com/fatedier/frp/releases/tag/v0.65.0 中下载frp的压缩包。
通过命令解压:

```
tar -vxf xxxx.tar.gz
```

### 2️⃣在公网服务器上部署frps

进入解压目录中，编辑frps.toml文件，将以下内容拷贝进去：
⚠️：绑定的通讯端口取决于自己服务器防火墙放行的端口
```
bindPort = 33022
```

如果需要开启面板则使用以下的配置：

```
bindPort = 33022
dashboard_port = 7500
dashboard_user = admin
dashboard_pwd  = strong_password
token = strong_token
```

然后执行以下的命令：

```
# 放置二进制（示例）
sudo mkdir -p /usr/local/frp /etc/frp
sudo cp frps /usr/local/frp/           # 你的 frps 可执行文件
sudo cp frps.toml /etc/frp/             # 你的服务端配置
sudo useradd --system --no-create-home --shell /sbin/nologin frp || true
sudo chown -R frp:frp /usr/local/frp /etc/frp

```

通过以下命令编辑systemd文件：

```
sudo vim /etc/systemd/system/frps.service
```

将以下内容复制进去：

```
[Unit]
Description=FRP Server (frps)
After=network-online.target
Wants=network-online.target

[Service]
Type=simple
User=frp
Group=frp
WorkingDirectory=/usr/local/frp
ExecStart=/usr/local/frp/frps -c /etc/frp/frps.toml
Restart=always
RestartSec=3
# 资源与限制（可选）
LimitNOFILE=1048576


[Install]
WantedBy=multi-user.target

```

最后设置开启自启动：

```
sudo systemctl daemon-reload
sudo systemctl enable --now frps

```

检查服务是否正常运行：

```
sudo systemctl status frps.service 
```
如果是绿色的就是正常的。如果不是，查看日志寻找解决问题。


### 3️⃣在内网服务器部署frpc服务

与frps同理，先下载压缩包并解压，然后进入解压的文件夹中，编辑frpc.toml文件：
将以下内容输入到文件中：

serverAddr是公网服务器的ip

```
serverAddr = "43.143.x.x"
serverPort = 33022

[[proxies]]
name = "test-tcp"
type = "tcp"
localIP = "127.0.0.1"
localPort = 22
remotePort = 7000
```

然后执行以下命令：

```
sudo mkdir -p /usr/local/frp /etc/frp
sudo cp frpc /usr/local/frp/                 # frpc 可执行文件
sudo cp frpc.ini /etc/frp/                   # frpc 配置
sudo useradd --system --no-create-home --shell /sbin/nologin frp || true
sudo chown -R frp:frp /usr/local/frp /etc/frp

```

通过命令：

```
sudo vim /etc/systemd/system/frpc.service
```

输入以下内容：

```
[Unit]
Description=FRP Client (frpc)
After=network-online.target
Wants=network-online.target

[Service]
Type=simple
User=frp
Group=frp
WorkingDirectory=/usr/local/frp
ExecStart=/usr/local/frp/frpc -c /etc/frp/frpc.toml
Restart=always
RestartSec=3
LimitNOFILE=1048576
# 更严一点的安全加固（可选）
NoNewPrivileges=true
ProtectSystem=full
ProtectHome=true
PrivateTmp=true

[Install]
WantedBy=multi-user.target

```

然后设置开机自启动：

```
sudo systemctl daemon-reload
sudo systemctl enable --now frpc

```

### 4️⃣测试通讯是否正常

输入以下命令：

```
sh -oPort=7000 username@x.x.x.x
```

frp服务部署

假设检验是一种统计推断方法，用于根据样本数据来判断我们对总体的某个假设是否成立。它是一个有固定步骤的、严谨的决策过程。

这个过程主要围绕着两个相互对立的假设进行。假设检验的四个核心要素：
- 原假设 H₀
- 备择假设 H₁
- 显著性水平 α
- p 值（判断依据）




### 1️⃣原（零）假设与备选假设
在假设检验中，零假设默认偏向“无效”或“无差异”。这样做有两个重要原因：

- 谨慎原则：
轻易得出“有效”和“有差别”的假设可能会误导决策。所以宁愿先假设“无效”和“没差别”，再用强有力的数据去推翻它。
- 逻辑清晰：
统计检验是基于概率的推理。我们只能计算“如果H₀是真的，数据出现这样的结果的概率”。
所以从“假设H₀为真”出发，是唯一能让数学推理严密的方法。

这就是我们默认的、“无罪推定”的立场。

### 2️⃣显著性水平$\alpha$

:::info{title="总结"}
显著性水平$\alpha$：错误拒绝零假设$H_0$的概率。
:::
如果我们设定 α = 0.05，意思是：我愿意接受 5% 的概率，去错误地拒绝原假设. 这样说也些拗口，或者说是`错误接受备选假设的概率`。

举个例子：

$H_0$:假设药物促进治疗效果无效

$H_1$:假设药物促进治疗有效

错误拒绝原假设就是有百分之5的可能认为无效的药物会促进治疗。

### 3️⃣$p$值与检验统计量之间的定义和关系


:::info{title="注"}
p值就是原假设成立的条件下，观测到当前数据的概率。 p越高，越符合原假设，p越低，越要拒绝原假设。
:::
所以重点就是如何计算p值，计算p值的核心是根据样本数据来计算，样本可以计算出检验统计量，根据分布函数，输入检验统计量输出其概率。

`检验统计量（Test Statistic）`是假设检验中基于样本数据计算的一个数值指标，**用于衡量观测数据与原假设（Null Hypothesis，H₀）的偏差程度【检验统计量绝对值越大，偏差越大，概率越小】**。而p值（p-value）则是基于这个统计量的概率分布计算得到的概率值，表示在原假设正确的情况下，观察到当前或更极端统计量的可能性。简单来说，检验统计量是“输入”，p值是其在分布尾部的“输出”概率——统计量越极端，p值越小，从而提供更强的证据来拒绝原假设。

### 4️⃣检验统计量的计算方式

检验统计量的计算通常根据数据类型（连续/分类）、样本大小和分布假设，选择合适的检验，如t检验（小样本均值）、z检验（大样本均值）、卡方检验（分类数据）或F检验（方差比较）。

让我们通过一个完整的例子来计算P值。

场景：一家工厂声称他们生产的螺栓平均长度是10cm。你怀疑这批螺栓的长度不符合标准，于是随机抽取了16个螺栓进行测量。

零假设 (H₀): 螺栓的平均长度 μ = 10 cm。

备择假设 (H₁): 螺栓的平均长度 μ ≠ 10 cm。（这是一个双尾检验）
你的样本数据：

样本数量 (n) = 16
样本平均长度 (x̄) = 10.2 cm
样本标准差 (s) = 0.4 cm
第1步：计算检验统计量 (t值)
对于单样本均值检验，t值的计算公式是：
t = (样本均值 - 假设的总体均值) / (样本标准差 / √样本数量)

代入我们的数据：

$t = (10.2 - 10) / (0.4 / \sqrt{16})$

$t = 2.0$

这个 t=2.0 的意思是：你的样本均值（10.2cm）比零假设的均值（10cm）高出了2个标准误的距离。现在的问题是，这个距离算不算“极端”？

第2步：确定概率分布
因为我们的样本量较小 (n < 30) 且总体标准差未知，我们使用 t分布。
t分布需要一个参数：自由度 (degrees of freedom, df)。
对于单样本t检验，df = n - 1 = 16 - 1 = 15。
所以，我们的参照系是“自由度为15的t分布”。

第3步：查找P值
我们要做的是，在自由度为15的t分布图上，找到比 t=2.0 更极端的区域的面积。因为是双尾检验，所以我们要计算 t > 2.0 和 t < -2.0 两个尾部区域的面积之和。

在统计学教科书的附录找到t分布表。
在表中找到自由度为15的那一行。
沿着这一行去找到最接近2.0的数值。你会发现2.0介于某个t值（对应p=0.05）和另一个t值（对应p=0.025）之间。例如，你可能会看到df=15时，t值为2.131对应的双尾概率是0.05。我们的t值2.0比2.131小。

这个 P值 (0.064) 大于我们通常设定的显著性水平 α (0.05)。因此，我们不能拒绝零假设。这意味着，尽管我们的样本均值是10.2cm，但这个差异还不够显著，我们没有足够的统计证据来断定这批螺栓的平均长度不是10cm。

### 5️⃣检验统计量的深入理解

:::info{title="检验统计量本质"}
衡量观测数据与原假设H₀的偏差程度
:::

公式通常是：(观测值 - 期望值) / 标准误差。

大多数检验统计量的计算都遵循一个非常直观的逻辑，可以理解为一个**信噪比（Signal-to-Noise Ratio）**：

`检验统计量 = (观察到的效应 / 随机波动)`

或者更具体一点：

`检验统计量 = (样本统计量 - 零假设下的参数) / 标准误差`



分子 (信号 Signal)：(样本统计量 - 零假设下的参数)
这就是你实际观察到的“差异”或“效应”。
比如，(样本均值 10.2 - 假设的均值 10) = 0.2。这是故事的“主角”。

分母 (噪音 Noise)：标准误 (Standard Error)
标准误衡量了样本统计量由于抽样而产生的随机波动大小。它综合考虑了数据的原始标准差和样本量。样本量越大，标准误越小；数据波动越小，标准误也越小。
它代表了系统中的“背景噪音”有多大。
所以，检验统计量的本质是：你观察到的效应是你随机噪音的多少倍？

如果检验统计量很大（比如 t=4.0），说明你的“信号”是“噪音”的4倍，这是一个非常强的信号，你很有可能发现了真实存在的效应。
如果检验统计量很小（比如 t=0.5），说明你的“信号”还没有“噪音”大，这个差异很可能只是随机产生的，不足为奇。


### 检验类型表格

| 检验类型 | 备择假设 (H₁) | 什么样的检验统计量会导致“拒绝H₀”？ | 例子 |
| :--- | :--- | :--- | :--- |
| **双尾检验** | **≠** (不等于) | **绝对值**非常大 (足够大的正数 **或** 足够小的负数) | 新药的疗效与旧药**不同** |
| **右尾检验** | **>** (大于) | **值**非常大 (一个足够大的**正数**) | 新教学方法使学生平均分**提高** |
| **左尾检验** | **<** (小于) | **值**非常小 (一个绝对值足够大的**负数**) | 新轮胎使刹车距离**缩短** |

统计推断方法：假设检验

方差（variance）和均值（mean）之间有一些重要的数学关系公式。这些公式主要源于概率论和统计学的基本性质。在深度学习领域中，有不少公式涉及统计和概率的知识，本文将简单记录一些常用的公式，方便推导复杂公式的时候用于查询。





### 1️⃣方差与均值的基本定义

均值的定义：
$$
μ = E(X) = \frac{1}{N} \sum{x_i}
$$



方差的定义：

$$
σ^2 = \operatorname{V a r} ( X )=\mathbb{E} [ \left( X-\mu\right)^{2} ]
$$

这是方差的最标准定义。它直接衡量 $X$ 偏离其均值 $\mu$ 的平方期望。


### 2️⃣方差的矩形式公式
用中文表示即：方差 = 平方的期望 - 均值的平方

$$
\operatorname{V a r} ( X )=\mathbb{E} [ X^{2} ]-\left( \mathbb{E} [ X ] \right)^{2}
$$

根据定义推导过程：

$$
\operatorname{V a r} ( X )=\cfrac{1} {N} \sum( x_{i}-\mu)^{2} 
$$

$$
\begin{aligned} {} & {{}=\frac{1} {N} \sum( x_{i}^{2}-2 x_{i} \mu+\mu^{2} )} \\ {} & {{}=\frac{1} {N} \sum x_{i}^{2}-2 \mu\frac{1} {N} \sum x_{i}+\mu^{2}} \\ \end{aligned}

\\  = \cfrac{1} {N} \sum x_{i}^{2}-\mu^{2}
$$

根据定义改写为：
$$
=\mathbb{E} [ X^{2} ]-\left( \mathbb{E} [ X ] \right)^{2}
$$

### 3️⃣常数平移对均值和方差的影响

$$
\mathbb{E} [ X+c ]=\mathbb{E} [ X ]+c=\mu+c
$$

$$
\operatorname{V a r} ( X + c )= \operatorname{V a r} (X)
$$

这个公式很好理解，有一组数据分布，统统加上一个常数，那么数据的均值也会加上常数，但是因为加的是常数，数据分布是整体偏移，所以方差不会变化。

这显示平移只改变均值，不影响方差。

### 4️⃣常数缩放对均值和方差的影响

$$
\mathbb{E} [ aX ] = a\mathbb{E}[X]
$$

$$
\operatorname{V a r} (aX) = a^2 \operatorname{V a r}(X)
$$

均值缩放推导：
$$
\mathbb{E} [aX] = \frac{1}{N} \sum a x_i = \frac{a}{N} \sum x_i = a \mathbb{E} [X]
$$

方差缩放推导：

$$
\operatorname{V a r} (aX) = E[(aX - a \mu)^2]
\\ = a^2E[X^2 - 2 \mu X + u^2]
\\ = a^2[E[X^2] -2 \mu E[X] + \mu^2]
$$

因为$ \mu = E[X]$ 且 $\operatorname{V a r} ( X )=\mathbb{E} [ \left( X-\mu\right)^{2} ]$

故：

$$
 = a^2[E[X^2] - (E[X])^2]
$$

$$
 = a^2 \operatorname{V a r}[X] 
$$


### 5️⃣独立随机变量和的方差
若 $X$ 和 $Y$ 独立：

$$
\operatorname{V a r} ( X+Y )=\operatorname{V a r} ( X )+\operatorname{V a r} ( Y )
$$


$$
\mathbb{E} [ X+Y ]=\mu_{X}+\mu_{Y}
$$

统计学中方差与均值的关系

本文档简单介绍如何在多个平台配置Pcl+Vtk+Qt的开发环境，
主要依靠vcpkg的跨平台包管理




### 第一步设置vcpkg

点击View->ToolWindow 添加vcpkg
添加后可以看到如图

![image.png](/static/img/483b668967cc52de3a9f625cf1caaf77.image.webp)

然后点击左边的➕添加vcpkg的仓库

### 第二步安装qt
搜索qt安装qtbase,点击右边的install按钮

![image.png](/static/img/c9f9b0e037018c870947ab400893c35d.image.webp)

### 第二步安装vtk[qt]

这一步不要使用默认的clion的ui安装，无法选择qt版本的vtk
所以找到vcpkg安装的目录，然后执行以下代码：

Mac平台：
```
./vcpkg install "vtk[qt]:arm64-osx"
```

Win平台：


```
.\vcpkg.exe install "vtk[qt]:x64-windows"
```

### 第三部安装pcl

pcl是处理点云的库,搜索后点击install即可

![image.png](/static/img/568db8a4b487da956e68e88377f8e1fd.image.webp)



## 配置cmake文件
参考配置如下，根据自己的代码结构进行修改：


```
cmake_minimum_required(VERSION 4.0)
project(demo)


set(VCPKG_C_FLAGS "-fPIC" CACHE STRING "VCPKG C Flags")
set(VCPKG_CXX_FLAGS "-fPIC" CACHE STRING "VCPKG CXX Flags")


set(CMAKE_CXX_STANDARD 20)
set(CMAKE_AUTOMOC ON)
set(CMAKE_AUTORCC ON)
set(CMAKE_AUTOUIC ON)


find_package(Qt6 COMPONENTS
        Core
        Gui
        Widgets
        REQUIRED)


find_package(PCL REQUIRED COMPONENTS
        common
        io
        visualization
        filters
        kdtree
        search)
find_package(VTK COMPONENTS
        RenderingOpenGL2
        GUISupportQt
        REQUIRED)

include_directories(
        ${PCL_INCLUDE_DIRS}
        ${VTK_INCLUDE_DIRS}
)

add_definitions(${PCL_DEFINITIONS})

add_executable(demo src/main.cpp
        src/mainwindow.h
        src/mainwindow.cpp
        src/DataManager.cpp
        src/DataManager.h

)
target_link_libraries(demo
        Qt::Core
        Qt::Gui
        Qt::Widgets
        VTK::GUISupportQt # VTK 的 Qt 支持
        VTK::RenderingOpenGL2 # VTK 的 OpenGL2 后端
        ${PCL_LIBRARIES}
        ${VTK_LIBRARIES}
)


```

Clion配置pcl和vtk+Qt

Welcome to my tech blog! Here, I document my coding journey and explore various technologies, focusing on practical solutions and streamlined techniques. From programming insights to tool recommendations, I share hands-on experiences that help sharpen your skills. Let’s learn and grow together!