Linux 服务器木马排查与修复指南

目标

排查内网私有化部署的 PHP 网站服务器中的木马病毒，并修复系统漏洞。

文章取自：http://i71i.com/5wg

---

1. 初步排查

1.1 检查资源占用

top
htop  # 查看高占用进程
netstat -antp | grep ESTABLISHED  # 检查异常网络连接

1.2 检查异常进程

ps aux | grep -v "grep" | grep "可疑进程名"
lsof -p <PID>  # 查看进程关联文件

1.3 检查定时任务

crontab -l
cat /etc/crontab
ls -l /etc/cron.*  # 检查新增任务

1.4 检查启动项

systemctl list-unit-files --type=service
ls -l /etc/rc.d/init.d/

---

2. Web 目录排查

2.1 定位 Web 根目录

• 通过 Nginx/Apache 配置文件（如 /etc/nginx/sites-available/default）确认路径。

2.2 检测 Webshell

grep -r "eval(" /var/www/html  # 查找 PHP Webshell
grep -r "base64_decode" /var/www/html
find /var/www/html -mtime -1  # 查找1天内修改的文件

2.3 检查日志

tail -n 100 /var/log/apache2/access.log
tail -n 100 /var/log/nginx/error.log

---

3. 系统层面排查

3.1 用户账户检查

cat /etc/passwd
cat /etc/shadow

3.2 SSH 登录记录

last
cat /var/log/auth.log

3.3 系统日志分析

tail -n 100 /var/log/syslog

3.4 使用安全工具

chkrootkit
rkhunter --check

---

4. 清除木马与修复

4.1 终止恶意进程

kill -9 <PID>

4.2 删除恶意文件

rm -rf /var/www/html/shell.php
rm -rf /tmp/mcrond

4.3 修复配置

chmod 644 /etc/passwd
chattr -i /usr/bin/bash

4.4 更新系统

apt update && apt upgrade -y  # Debian/Ubuntu
yum update -y                 # CentOS

---

5. 防护措施

5.1 强化安全配置

• 限制文件上传：

  upload_max_filesize = 2M
  open_basedir = /var/www/html

• 启用防火墙：

  ufw allow 80,443,22/tcp
  ufw deny from <恶意IP>

5.2 保密性保障

• 隔离环境：禁止外网直接访问服务器。

• 权限限制：仅授权必要人员使用 SSH 密钥认证。

• 加密通信：强制使用 HTTPS。

---

6. 日常监控

• 文件监控：

  inotifywatch -r /var/www/html

• 日志审计： 使用 ELK Stack 或 Graylog 集中分析日志。

---

附录

• ClamAV 扫描：

  clamscan --infected --recursive /var/www/html

• PHP 漏洞修复： 禁用 allow_url_include 和 register_globals。

---

文档说明

1. 保密性：所有操作应在内网环境中执行，禁止外网访问。

2. 操作风险：涉及系统文件修改时，建议先备份（如 cp /etc/passwd /etc/passwd.bak）。

3. 应急响应：如无法自行解决，建议联系专业安全团队。