查出Linux下网站哪些文件被挂马的办法

踏浪行歌

php后门木马常用的函数大致上可分为四种类型：
! ~7 G) n6 ]  S' m+ v9 d! D4 y1 F

1. 1. 执行系统命令: system, passthru, shell_exec, exec, popen, proc_open
   % s5 d7 O- p" I/ s
2. 2. 代码执行与加密: eval, assert, call_user_func,base64_decode, gzinflate, gzuncompress, gzdecode, str_rot13
   
3. 3. 文件包含与生成: require, require_once, include, include_once, file_get_contents, file_put_contents, fputs, fwrite
   2 k1 V% }9 x# K1 s7 \/ b  Y
4. 4. .htaccess: SetHandler, auto_prepend_file, auto_append_file

复制代码

二  想找一个 关键词是“hellow word” 在哪些文件中有，我们用grep命令
% y! z+ y" |; d4 B3 d7 r6 _

1. grep –color -i -r -n “hellow word”  /data/www/

复制代码

这样就能搜索出来 文件中包含关键词的文件
–color是关键词标红
2 W+ }2 n' i) m9 j8 K5 m-i是不区分大小写
% f! X; |/ R4 _) \-r是包含子目录的搜索
9 P& j6 k0 h1 P2 T8 B4 T-d skip忽略子目录
* d/ e, h; O' j) K可以用以上命令查找网站项目里的带有挂马的文件
2 C' f% C# A/ T9 [2 W9 x. l1 B6 O
三 .两个查后门的实用linux命令：

1. find /data/web/website/ -iname *.php -mtime -35 找出/data/web/website/目录下 35分钟前新建的php
   
2. find /data/web/website/ -name “*.php” | xargs grep “eval($_POST[” 找出/data/web/website/ 里面源码包含eval($_POST[的php文件

复制代码

6 w* f1 |7 a6 c9 ^9 Z/ m+ v四  例如  注入漏洞eval(base64_decode
) O) t8 ?7 s7 Z

1. grep –color -i -r -n “eval”  /data/www/   找出来对比以前正常的代码，看是否正常。然后用stat查看这个木马文件的修改时间，最后去寻找WEB日志，找

复制代码

出木马从哪里进来的
; k0 v" _0 G* ]; h: h五：实用查找PHP木马命令：
查找PHP木马
7 U, f) j" c7 m+ j* Q6 C

1. # find ./ -name "*.php" |xargs egrep "phpspy|c99sh|milw0rm|eval\(gunerpress|eval\(base64_decoolcode|spider_bc"> /tmp/php.txt
   - w6 a1 i7 ?7 K+ A- b* L
2. # grep -r --include=*.php  '[^a-z]eval($_POST' . > /tmp/eval.txt
   
3. # grep -r --include=*.php  'file_put_contents(.*$_POST\[.*\]);' . > /tmp/file_put_contents.txt
   # Z. U3 c& J/ l4 J
4. # find ./ -name "*.php" -type f -print0 | xargs -0 egrep "(phpspy|c99sh|milw0rm|eval\(gzuncompress\(base64_decoolcode|eval\(base64_decoolcode|spider_bc|gzinflate)" | awk -F: '{print $1}' | sort | uniq
   
5. 
   6 M) m" e6 j$ l! {2 s6 E; F
6. # find ./ -name "*.php" |xargs egrep "phpspy|c99sh|milw0rm|eval\(gunerpress|eval\(base64_decoolcode|spider_bc"> /tmp/php.txt
   
7. # grep -r --include=*.php  '[^a-z]eval($_POST' . > /tmp/eval.txt
   2 w" l. j. K% Y+ g1 x+ p& {
8. # grep -r --include=*.php  'file_put_contents(.*$_POST\[.*\]);' . > /tmp/file_put_contents.txt
   
9. # find ./ -name "*.php" -type f -print0 | xargs -0 egrep "(phpspy|c99sh|milw0rm|eval\(gzuncompress\(base64_decoolcode|eval\(base64_decoolcode|spider_bc|gzinflate)" | awk -F: '{print $1}' | sort | uniq

复制代码

查找最近一天被修改的PHP文件
" T! g, N6 L0 h) f; o# I! u

1. #   find -mtime -1 -type f -name \*.php
   - w2 Q( v7 {* z9 ^, Q; T
2. #   find -mtime -1 -type f -name \*.php

复制代码

修改网站的权限

1. # find -type f -name \*.php -exec chmod 444 {} \;
   
2. # find ./ -type d -exec chmod 555{} \;
   
3. # find -type f -name \*.php -exec chmod 444 {} \;
     L2 |) |+ e: Y/ H# m+ v
4. # find ./ -type d -exec chmod 555{} \;

复制代码

假设最后更新是10天前我们可以查找10天内生成的可以php文件:

1. find /var/www/ -name “*.php” -mtime -10

复制代码

也可以通过关键字的形式查找 常见的木马常用代码函数 eval,shell_exec,passthru,popen,system
/ r- w1 V( G9 Y/ N

1. #find /var/www/ -name “*.php” |xargs grep “eval” |more
   
2. #find /var/www/ -name “*.php” |xargs grep “shell_exec” |more
   ) Z' z) x& o. m, Q( I% T+ {5 ~) [7 h
3. #find /var/www/ -name “*.php” |xargs grep “passthru” |more
   + F! I  u7 O* G" h" n- M% o4 h; E6 {
4. #find /var/www/ -name “*.php” |xargs grep “eval” |more
   0 L( F1 D8 J! @+ V8 n% c5 {
5. #find /var/www/ -name “*.php” |xargs grep “shell_exec” |more
   / ^  ]( J9 Y0 ]2 d  U
6. #find /var/www/ -name “*.php” |xargs grep “passthru” |more

复制代码

还有查看access.log 当然前提是你网站的所有php文件不是很多的情况下
一句话查找PHP木马
, ]8 }. M/ Y" d- S+ Z+ Q

1. # find ./ -name “*.php” |xargs egrep “phpspy|c99sh|milw0rm|eval(gunerpress|eval(base64_decode|spider_bc”> /tmp/php.txt
   
2. # grep -r –include=*.php ’[^a-z]eval($_POST’ . > /tmp/eval.txt
   
3. # grep -r –include=*.php ’file_put_contents(.*$_POST[.*]);’ . > /tmp/file_put_contents.txt
   
4. # find ./ -name “*.php” -type f -print0 | xargs -0 egrep “(phpspy|c99sh|milw0rm|eval(gzuncompress(base64_decode|eval(base64_decode|spider_bc|gzinflate)” | awk -F: ‘{print $1}’ | sort | uniq
   5 `+ O8 z7 g3 }6 t
5. # find ./ -name “*.php” |xargs egrep “phpspy|c99sh|milw0rm|eval(gunerpress|eval(base64_decode|spider_bc”> /tmp/php.txt
   & W; M0 R- l% y
6. # grep -r –include=*.php ’[^a-z]eval($_POST’ . > /tmp/eval.txt
   
7. # grep -r –include=*.php ’file_put_contents(.*$_POST[.*]);’ . > /tmp/file_put_contents.txt
   
8. # find ./ -name “*.php” -type f -print0 | xargs -0 egrep “(phpspy|c99sh|milw0rm|eval(gzuncompress(base64_decode|eval(base64_decode|spider_bc|gzinflate)” | awk -F: ‘{print $1}’ | sort | uniq

复制代码

: u1 S: E7 e' e+ {* r: Q; q" t1 Z% i查找最近一天被修改的PHP文件
7 s, v4 L% P% Z' ~: U

1. # find -mtime -1 -type f -name *.php

复制代码

六 以下其实是多余的操作了其实，但是还是有值得看的地方

检查代码。
+ n/ |) R3 Q* H  R
2 }) P! H) w. I- S. K# |) N. F, H肯定不是一个文件一个文件的检查，Linxu有强悍的命令
7 z% L) O6 q8 P8 Ogrep ‘eval’ * -R 全盘搜索当前目录所有文件（包含子目录）中带有eval的文件，这条可以快速查找到被挂马的文件。
8 l/ M: c6 O  i关于eval，请自行google一句话php代码。
, Z0 c/ X3 n7 K! t
2，查看日志。
7 w$ e2 e8 v7 t% e; X8 |不到这个时候不知道日志的可贵啊。
7 ?9 L9 o6 C7 m还是以grep命令为主。
& H* u6 E# @, w/ m/ p( k$ L* J思路：负责的站点是Linux，只开了2个端口，一个22和80，外部的执行命令是由从80端口进来，Selinux报httpd访问/boot文件，确认被挂马。而所有的命令执行必须POST提交给执行的文件。所以，查找日志中所有的POST记录。
$ N6 p) K5 v$ {, e- _cat access_log_20120823.log | grep ‘POST’ | grep -v ‘反向查找’ | less，通过grep -v排除正常post，egrep也支持正则，但是太复杂了，看懂不知道怎么运用。
; ~. B: x& H0 T% g
. \0 ]/ p. u* g( X（这里不建议用cat，用tail可以追加一个文件来看）

& o# y4 k4 d# c+ L& M$ d; X" K这可以防患于未然，防止不知道哪天又被人黑进来了。每天看一眼日志。
6 J8 |0 T8 t: Q7 |; q' Q
+ A# j! J4 p8 j4 \1 B3，对于网页目录，只给apache用户rx权限，不要给w权限，目录设置要加上rx，不要给w，个别文件除外。所以，配合2使用，Linux下可以快速过滤刷选出来不规则的POST请求。
+ X. H: `& d* F; G综合1，2其实就可以快速查找被黑的页面，被修改的文件替换干净的代码。

. u* J/ C, S9 H+ e- S( B

5 ^( g) V' D" K1 {4 L2 r( d3 S3 e- N