要查找入侵程序代码，可以采取以下几种方法：
检查日志文件
查看系统日志文件，如`/var/log/lastlog`，了解最近登录的用户和事件。
检查安全日志文件，如`/var/log/secure`，寻找异常登录尝试或其他可疑活动。
使用`tcpdump`或`iperf`等工具抓取网络流量，分析是否有异常流量，这可能表明有程序在传输数据。
审查系统文件
检查`/etc/passwd`和`/etc/shadow`文件，看是否有未授权的用户账户或密码被创建或修改。
查看`/proc`文件系统，了解当前运行的进程及其状态，这有助于发现异常进程。
使用文件恢复工具
如果怀疑重要文件被删除，可以尝试使用文件恢复工具来找回这些文件。
监控进程活动
使用`top`或`htop`等工具实时监控进程活动，查看是否有未知或可疑进程在运行。
在虚拟文件系统目录中查找进程的可执行文件，这有助于定位入侵程序的实际位置。
分析网络活动
使用网络监控工具，如Wireshark，来分析网络流量，寻找异常的通信模式或未授权的数据传输。
检查系统完整性
使用系统完整性监控工具，如Tripwire，来检测系统文件的未授权更改。
代码审计
对系统进行代码审计，检查是否有未授权的代码修改或未授权的文件访问。
使用安全工具
使用入侵检测系统（IDS）或入侵防御系统（IPS）来自动检测和阻止入侵行为。
请注意，这些方法需要管理员权限才能执行，并且在执行某些操作时可能需要谨慎，以避免破坏系统或丢失数据。如果你不确定如何进行，建议寻求专业的网络安全人员的帮助。
