一

php后門木馬常用的函數大致上可分為四種類型：

1.?執行系統命令: system, passthru, shell_exec, exec, popen, proc_open

2.?代碼執行與加密: eval, assert, call_user_func,base64_decode, gzinflate, gzuncompress, gzdecode, str_rot13

3.?文件包含與生成: require, require_once, include, include_once, file_get_contents, file_put_contents, fputs, fwrite

4.?.htaccess: SetHandler, auto_prepend_file, auto_append_file

二

想找一個 關鍵詞是“hellow word” 在哪些文件中有，我們用grep命令

grep –color -i -r -n “hellow word” ?/data/www/

這樣就能搜索出來 文件中包含關鍵詞的文件

–color是關鍵詞標紅

-i是不區分大小寫

-r是包含子目錄的搜索

-d skip忽略子目錄

可以用以上命令查找網站項目里的帶有掛馬的文件

三

.兩個查后門的實用linux命令：

find /data/web/website/ -iname *.php -mtime -35 找出/data/web/website/目錄下 35分鐘前新建的php

find /data/web/website/ -name “*.php” | xargs grep “eval($_POST[” 找出/data/web/website/ 里面源碼包含eval($_POST[的php文件

四

例如

注入漏洞eval(base64_decode

grep –color -i -r -n “eval” ?/data/www/?? 找出來對比以前正常的代碼，看是否正常。然后用stat查看這個木馬文件的修改時間，最后去尋找WEB日志，找出木馬從哪里進來的

五：

實用查找PHP木馬命令：

查找PHP木馬

# find ./ -name "*.php" |xargs egrep "phpspy|c99sh|milw0rm|eval\(gunerpress|eval\(base64_decoolcode|spider_bc"> /tmp/php.txt

# grep -r --include=*.php '[^a-z]eval($_POST' . > /tmp/eval.txt

# grep -r --include=*.php 'file_put_contents(.*$_POST\[.*\]);' . > /tmp/file_put_contents.txt

# find ./ -name "*.php" -type f -print0 | xargs -0 egrep "(phpspy|c99sh|milw0rm|eval\(gzuncompress\(base64_decoolcode|eval\(base64_decoolcode|spider_bc|gzinflate)" | awk -F: '{print $1}' | sort | uniq

查找最近一天被修改的PHP文件

# find -mtime -1 -type f -name \*.php

修改網站的權限

# find -type f -name \*.php -exec chmod 444 {} \;

# find ./ -type d -exec chmod 555{} \;

假設最后更新是10天前我們可以查找10天內生成的可以php文件:

find /var/www/ -name “*.php” -mtime -10

也可以通過關鍵字的形式查找 常見的木馬常用代碼函數 eval,shell_exec,passthru,popen,system

#find /var/www/ -name “*.php” |xargs grep “eval” |more

#find /var/www/ -name “*.php” |xargs grep “shell_exec” |more

#find /var/www/ -name “*.php” |xargs grep “passthru” |more

還有查看access.log 當然前提是你網站的所有php文件不是很多的情況下

一句話查找PHP木馬

# find ./ -name “*.php” |xargs egrep “phpspy|c99sh|milw0rm|eval(gunerpress|eval(base64_decode|spider_bc”> /tmp/php.txt

# grep -r –include=*.php ’[^a-z]eval($_POST’ . > /tmp/eval.txt

# grep -r –include=*.php ’file_put_contents(.*$_POST[.*]);’ . > /tmp/file_put_contents.txt

# find ./ -name “*.php” -type f -print0 | xargs -0 egrep “(phpspy|c99sh|milw0rm|eval(gzuncompress(base64_decode|eval(base64_decode|spider_bc|gzinflate)” | awk -F: ‘{print $1}’ | sort | uniq

查找最近一天被修改的PHP文件

# find -mtime -1 -type f -name *.php

六

以下其實是多余的操作了其實，但是還是有值得看的地方

檢查代碼。

肯定不是一個文件一個文件的檢查，Linxu有強悍的命令

grep ‘eval’ * -R 全盤搜索當前目錄所有文件(包含子目錄)中帶有eval的文件，這條可以快速查找到被掛馬的文件。

關于eval，請自行google一句話php代碼。

2，查看日志。

不到這個時候不知道日志的可貴啊。

還是以grep命令為主。

思路：負責的站點是Linux，只開了2個端口，一個22和80，外部的執行命令是由從80端口進來，Selinux報httpd訪問/boot文件，確認被掛馬。而所有的命令執行必須POST提交給執行的文件。所以，查找日志中所有的POST記錄。

cat access_log_20120823.log | grep ‘POST’ | grep -v ‘反向查找’ | less，通過grep -v排除正常post，egrep也支持正則，但是太復雜了，看懂不知道怎么運用。

(這里不建議用cat，用tail可以追加一個文件來看)

這可以防患于未然，防止不知道哪天又被人黑進來了。每天看一眼日志。

3，對于網頁目錄，只給apache用戶rx權限，不要給w權限，目錄設置要加上rx，不要給w，個別文件除外。所以，配合2使用，Linux下可以快速過濾刷選出來不規則的POST請求。

綜合1，2其實就可以快速查找被黑的頁面，被修改的文件替換干凈的代碼。

總結

以上是生活随笔為你收集整理的luinx php木马,Linux Bash Shell 寻找PHP（网站）挂马，后门的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。