Linux下查找后门程序 CentOS 查后门程序的shell脚本

首先我们来讲一下在Linux下查找后门程序的方法。

一、Linux下查找后门程序的方法

1.1 查找可疑文件

首先，我们可以通过查找可疑的文件来判断是否存在后门程序。常见的后门程序一般会隐藏在系统的一些敏感目录或者用一些看似无害的文件名来掩盖自己。通过以下命令可以查找到Linux系统中带有root权限的所有文件：

sudo find / -type f -perm /4000 2>/dev/null

其中/是指查找根目录，-type f是指查找类型为文件的结果，-perm /4000是指查找拥有s权限的文件（s权限表示文件拥有执行权限且以root用户运行），2>/dev/null是将stderr输出重定向到空设备，避免输出大量的无用信息。

1.2 检测系统启动项

其次，我们可以通过检测系统的启动项来判断是否存在可疑的后门程序。在Linux系统中，启动项通常存放在/etc/init.d/目录中，而且一些后门程序常常会将自己加入到系统启动项中以达到开启自启动的目的。

我们可以通过以下命令来列出系统中所有启动项：

ls /etc/init.d/

如果发现有可疑的启动项，可以通过以下命令来停止该启动项并删除相关文件：

sudo service [服务名称] stop
sudo chkconfig [服务名称] off
sudo rm -rf [服务文件或目录]

二、CentOS查后门程序的shell脚本

可以通过编写shell脚本来自动化地查找后门程序。下面我们来编写一个简单的CentOS查后门程序的shell脚本。

#!/bin/bash

echo "Searching for backdoor files..."

# 查找可疑文件
sus_files=$(sudo find / -type f -perm /4000 2>/dev/null)

if [ -z "$sus_files" ]; then
  echo "No backdoor files found."
else
  echo "Backdoor files detected:"

  for file in "$sus_files"; do
    echo " - $file"
  done

  # 删除可疑文件
  read -p "Do you want to delete the backdoor files? [Y/N] " choice

  if [ "$choice" = "Y" ] || [ "$choice" = "y" ]; then
    echo "Deleting backdoor files..."
    sudo rm -rf $sus_files
    echo "Backdoor files deleted."
  else
    echo "Backdoor files are still in your system. Please delete them manually."
  fi

fi

# 检测启动项
echo "Checking system startup items..."

sys_services=$(ls /etc/init.d/)

for service in "$sys_services"; do
  chkconfig --list $service | grep '3:on'

  if [ "$?" = 0 ]; then
    echo "Suspicious startup item detected: $service"
  fi
done

以上脚本会先查找系统中可疑文件，如果发现可疑文件会提示用户是否删除，然后检测系统启动项是否存在可疑项。可以通过对该脚本进行修改来适配其他Linux发行版。

示例1：

假设我们把以上脚本保存为backdoor.sh，并赋予执行权限，我们可以直接在终端上运行该脚本来查找后门程序：

sudo chmod +x backdoor.sh
sudo ./backdoor.sh

会输出类似以下的结果：

Searching for backdoor files...
No backdoor files found.
Checking system startup items...
Suspicious startup item detected: myservice

示例2：

如果存在可疑文件，可以令脚本自动删除这些文件：

sudo ./backdoor.sh

脚本会提示是否删除可疑文件，输入Y即可。