PHP木馬主要用于攻擊網(wǎng)站，會(huì)在網(wǎng)站中插入代碼，在Linux系統(tǒng)中，可使用shell命令檢測(cè)PHP木馬，為了防止腳本木馬的破壞，保證網(wǎng)站的安全，學(xué)會(huì)使用shell命令查找PHP木馬是非常重要的，下面小編就給大家介紹下方法。

　　1、一句話查找PHP木馬

　　代碼如下

　　# find 。/ -name “*.php” |xargs egrep “phpspy|c99sh|milw0rm|eval＼（gunerpress|eval＼（base64_decoolcode|spider_bc”》 /tmp/php.txt

　　# grep -r --include=*.php ‘［^a-z］eval（$_POST’ 。 》 /tmp/eval.txt

　　# grep -r --include=*.php ‘file_put_contents（.*$_POST＼［.*＼］）;’ 。 》 /tmp/file_put_contents.txt

　　# find 。/ -name “*.php” -type f -print0 | xargs -0 egrep “（phpspy|c99sh|milw0rm|eval＼（gzuncompress＼（base64_decoolcode|eval＼（base64_decoolcode|spider_bc|gzinflate）” | awk -F： ‘{print $1}’ | sort | uniq

        2、查找最近一天被修改的PHP文件

　　一般站點(diǎn)里的頁(yè)面文件都很少更改，當(dāng)然動(dòng)態(tài)臨時(shí)生成的除外。而那些一般不會(huì)變的頁(yè)面目錄里的文件如果被修改了，可大可能是被人做了手腳。

　　代碼如下

　　# find -mtime -1 -type f -name ＼*.php

　　3、修改網(wǎng)站的權(quán)限

　　代碼如下

　　# find -type f -name ＼*.php -exec chmod 444 {} ＼;

　　# find 。/ -type d -exec chmod 555{} ＼;

　　4、常見(jiàn)的一句話后門：

　　代碼如下

　　grep -r --include=*.php ‘［^a-z］eval（$_POST’ 。 》 grep.txt

　　grep -r --include=*.php ‘file_put_contents（.*$_POST＼［.*＼］）;’ 。 》 grep.txt

　　把搜索結(jié)果寫入文件，下載下來(lái)慢慢分析，其他特征木馬、后門類似。有必要的話可對(duì)全站所有文件來(lái)一次特征查找，上傳圖片肯定有也捆綁的，來(lái)次大清洗

　　5、禁用不常用函數(shù)

　　將用不到的權(quán)限又比較大的php函數(shù)在php.ini文件里禁掉。修改方法如下：

　　disable_functions = system，exec，shell_exec

　　上面就是Linux使用shell命令檢測(cè)PHP木馬的方法介紹了，在不確定自己的網(wǎng)站是否被攻擊的情況下，最好使用shell命令檢測(cè)下。

最新評(píng)論