PHP实现Linux服务器木马排查及加固功能

概述

本攻略主要介绍如何使用PHP实现Linux服务器木马排查及加固功能。由于不同的服务器环境具有差异，本攻略重点介绍基于Ubuntu 18.04 LTS操作系统的实现方法，其他操作系统如CentOS、Debian等也可以参考。

排查过程

步骤一：检查系统环境

在开始排查之前，首先需要检查系统环境是否具备必要的工具，具体需要安装以下软件：

curl 命令
grep 命令
awk 命令
sed 命令

可以通过以下命令进行安装：

sudo apt-get update
sudo apt-get install curl grep awk sed -y

步骤二：查找可疑文件

执行以下命令，列出当前目录下修改时间在24小时内的所有文件：

find / -mtime -1 -type f -print

此时我们可以把列出来的文件保存到一个文件中，比如output.txt：

find / -mtime -1 -type f -print > output.txt

然后可以用grep命令查找某些关键字，比如shell、eval、eval-base64等：

grep -Erl 'eval|exec|base64_decode|gzuncompress' / 2>/dev/null >> output.txt

在查找完成后，可以使用vim或其他编辑器打开output.txt文件，手动排查可疑文件。

步骤三：额外的排查

对于排查到的可疑文件，可以进一步使用以下命令进行排查：

列出文件属性

ls -al filename

查看文件内容

cat filename

查找文件所属的进程

sudo lsof -p `cat /var/run/nginx.pid`

查找可疑CLI命令

ps -ef | grep -v grep | egrep 'bash|sh'

查找资源使用情况

top

加固方案

在排查完可疑文件后，需要采取措施加固服务器，以防止类似的木马程序再次入侵。

以下是一些建议：

配置完善的防火墙规则，限制不必要的网络访问。
对敏感文件和目录进行访问控制，只授权给需要的用户和组。
定期更新服务器软件，避免使用已知的漏洞。
使用安全的用户名和密码，启用多因素认证。
配置日志记录，便于排查问题。

示例

以下是针对WordPress网站的排查示例：

示例一：列出可疑文件

find /var/www/html/wordpress -type f -mtime -1 -print0 | xargs -0 grep -Erl "(base64_decode|eval|gzinflate)\(" >> output.txt

执行结果：

/var/www/html/wordpress/wp-content/themes/Avada/includes/class-avada-utility.php
/var/www/html/wordpress/wp-content/themes/Avada/includes/lib/inc/class-fusion-builder-element.php
/var/www/html/wordpress/wp-content/themes/Avada/includes/lib/inc/class-fusion-one-click-import.php

可以进一步查看这些文件的内容，判断是否有可疑代码。