PHP实现Linux服务器木马排查及加固功能

概述

本攻略主要介绍如何使用PHP实现Linux服务器木马排查及加固功能。由于不同的服务器环境具有差异，本攻略重点介绍基于Ubuntu 18.04 LTS操作系统的实现方法，其他操作系统如CentOS、Debian等也可以参考。

排查过程

步骤一：检查系统环境

在开始排查之前，首先需要检查系统环境是否具备必要的工具，具体需要安装以下软件：

• curl 命令
• grep 命令
• awk 命令
• sed 命令

可以通过以下命令进行安装：

sudo apt-get update
sudo apt-get install curl grep awk sed -y 

步骤二：查找可疑文件

执行以下命令，列出当前目录下修改时间在24小时内的所有文件：

find / -mtime -1 -type f -print

此时我们可以把列出来的文件保存到一个文件中，比如output.txt：

find / -mtime -1 -type f -print > output.txt

然后可以用grep命令查找某些关键字，比如shell、eval、eval-base64等：

grep -Erl 'eval|exec|base64_decode|gzuncompress' / 2>/dev/null >> output.txt

在查找完成后，可以使用vim或其他编辑器打开output.txt文件，手动排查可疑文件。

步骤三：额外的排查

对于排查到的可疑文件，可以进一步使用以下命令进行排查：

• 列出文件属性

ls -al filename

• 查看文件内容

cat filename

• 查找文件所属的进程

sudo lsof -p `cat /var/run/nginx.pid`

• 查找可疑CLI命令

ps -ef | grep -v grep | egrep 'bash|sh'

• 查找资源使用情况

top

加固方案

在排查完可疑文件后，需要采取措施加固服务器，以防止类似的木马程序再次入侵。

以下是一些建议：

• 配置完善的防火墙规则，限制不必要的网络访问。
• 对敏感文件和目录进行访问控制，只授权给需要的用户和组。
• 定期更新服务器软件，避免使用已知的漏洞。
• 使用安全的用户名和密码，启用多因素认证。
• 配置日志记录，便于排查问题。

示例

以下是针对WordPress网站的排查示例：

示例一：列出可疑文件

find /var/www/html/wordpress -type f -mtime -1 -print0 | xargs -0 grep -Erl "(base64_decode|eval|gzinflate)\(" >> output.txt

执行结果：

/var/www/html/wordpress/wp-content/themes/Avada/includes/class-avada-utility.php
/var/www/html/wordpress/wp-content/themes/Avada/includes/lib/inc/class-fusion-builder-element.php
/var/www/html/wordpress/wp-content/themes/Avada/includes/lib/inc/class-fusion-one-click-import.php

可以进一步查看这些文件的内容，判断是否有可疑代码。

示例二：限制SSH登录

可以通过以下方法限制SSH登录：

1. 编辑/etc/ssh/sshd_config文件

sudo vim /etc/ssh/sshd_config

1. 找到以下行并将其修改为yes

PermitRootLogin no

1. 重新加载ssh服务

sudo systemctl reload ssh

这样就可以禁止ROOT用户使用SSH登录了。