注册 登录  
 加关注
   显示下一条  |  关闭
温馨提示!由于新浪微博认证机制调整,您的新浪微博帐号绑定已过期,请重新绑定!立即重新绑定新浪微博》  |  关闭

c.pass 的博客

众里寻他千百度,蓦然回首,那人却在,灯火阑珊处。

 
 
 

日志

 
 
关于我
网易考拉推荐

Linux服务器如何查找WebShell后门  

2010-09-14 14:48:35|  分类: 默认分类 |  标签: |举报 |字号 订阅

  下载LOFTER 我的照片书  |
  有过服务器被挂马或者被黑的朋友应该知道,黑客入侵web服务器的第一目标是往服务器上上传一个webshell,有了webshell黑客就可以干更多的事情,网站被挂马后很多人会束手无策,无从查起,其实并不复杂,这里我将以php环境为例讲几个小技巧,希望对大家有帮助。

我先讲一下我的思路,如果服务器上被上传了webshell那么我们肯定能够查到蛛丝马迹,比如php文件的时间,如果我们可以查找最后一次网站代码更新以后的所有php文件,方法如下:
假设最后更新是10天前我们可以查找10天内生成的可以php文件:

find /var/webroot -name "*.php" -mtime -10

命令说明:
/var/webroot为网站根目录
-name "*.php"为查找所有php文件
-time -10为截止到现在10天

        如果文件更新时间不确定,我们可以通过查找关键字的方法来确定,要想查的准确需要熟悉webshell常用的关键字,我这里列出一些常用的,其他的大家可以从网收集一些webshell,总结自己的关键字,括号里面我总结的一些关键字(eval,shell_exec,passthru,popen,system)查找方法如下:

find /var/webroot -name "*.php" |xargs grep "eval" |more
find /var/webroot -name "*.php" |xargs grep "shell_exec" |more
find /var/webroot -name "*.php" |xargs grep "passthru" |more

     这里我就不一一罗列了,如果有自己总结的关键字直接替换就可以,当然并不是所有的找出的文件都是webshell需要自己做一下判断,判断的方法也简单,直接从浏览器访问一下这个文件或者和自己找的一些webshell比较一下,看得多了,基本上一眼就可以判断是不是webshell文件。
呵呵是不是很简单。

   转载于:http://hi.baidu.com/%B5%C8%B0%AE%B5%C4%D1%DB%BE%A6/blog/item/7fb894c4cfc007a78326ac52.html

  评论这张
 
阅读(482)| 评论(1)
推荐 转载

历史上的今天

评论

<#--最新日志,群博日志--> <#--推荐日志--> <#--引用记录--> <#--博主推荐--> <#--随机阅读--> <#--首页推荐--> <#--历史上的今天--> <#--被推荐日志--> <#--上一篇,下一篇--> <#-- 热度 --> <#-- 网易新闻广告 --> <#--右边模块结构--> <#--评论模块结构--> <#--引用模块结构--> <#--博主发起的投票-->
 
 
 
 
 
 
 
 
 
 
 
 
 
 

页脚

网易公司版权所有 ©1997-2017