建站
咨詢
售后
建站咨詢
新聞中心
Linux 系統(tǒng)下如何查找并刪除 WebShell？
站在用戶的角度思考問(wèn)題，與客戶深入溝通，找到英山網(wǎng)站設(shè)計(jì)與英山網(wǎng)站推廣的解決方案，憑借多年的經(jīng)驗(yàn)，讓設(shè)計(jì)與互聯(lián)網(wǎng)技術(shù)結(jié)合，創(chuàng)造個(gè)性化、用戶體驗(yàn)好的作品，建站類型包括：成都網(wǎng)站制作、做網(wǎng)站、企業(yè)官網(wǎng)、英文網(wǎng)站、手機(jī)端網(wǎng)站、網(wǎng)站推廣、空間域名、雅安服務(wù)器托管、企業(yè)郵箱。業(yè)務(wù)覆蓋英山地區(qū)。
隨著互聯(lián)網(wǎng)技術(shù)的不斷發(fā)展，WebShell 也成為了黑客攻擊的主要手段之一。它可以通過(guò)在服務(wù)器上注入惡意代碼并獲取系統(tǒng)權(quán)限，從而對(duì)服務(wù)器進(jìn)行任意操作。因此，對(duì)于 Linux 系統(tǒng)管理員而言，確認(rèn)服務(wù)器是否被 WebShell 植入以及及時(shí)清理是非常必要的。
那么，在 Linux 系統(tǒng)下如何查找并刪除 WebShell？下面，讓我們一步步來(lái)進(jìn)行操作。
一、查找 WebShell
1.查找網(wǎng)站目錄下是否有 WebShell 文件
使用如下命令查找網(wǎng)站所在目錄下是否有 WebShell 文件：
“`
find /var/www/html/ -name “*.php” -type f -size +10k -print0 | xargs -0 egrep -H “r57shell|phpshells” > webshell.txt
“`
其中，`/var/www/html/` 表示網(wǎng)站所在目錄，`*.php` 表示查找的文件類型，`-size +10k` 表示查找大于 10 KB 的文件，`r57shell` 和 `phpshells` 是常見(jiàn)的 WebShell 名稱，也可以根據(jù)實(shí)際情況進(jìn)行修改。執(zhí)行該命令后，會(huì)在當(dāng)前目錄下生成一個(gè)名為 `webshell.txt` 的文件，其中包含了 WebShell 的文件路徑和所在行數(shù)。
2.查找系統(tǒng)目錄下是否有 WebShell 文件
使用如下命令查找系統(tǒng)目錄下是否有 WebShell 文件：
“`
find / -name “*.php” -type f -size +10k -print0 | xargs -0 egrep -H “r57shell|phpshells” > webshell.txt
“`
與上一個(gè)命令類似，只是將查找目錄改為根目錄 `/`，需要注意的是，該操作會(huì)查找整個(gè)系統(tǒng)，耗時(shí)較長(zhǎng)，建議使用時(shí)謹(jǐn)慎操作。
3.查看系統(tǒng)日志
使用如下命令查看服務(wù)器的訪問(wèn)日志：
“`
tl -f /var/log/httpd/access_log
“`
該命令可以查看最近訪問(wèn)服務(wù)器的客戶端 IP 和訪問(wèn)路徑，如果發(fā)現(xiàn)有非法訪問(wèn)以及可疑的 IP 地址，可以進(jìn)一步排查是否被 WebShell 注入。
二、刪除 WebShell
確認(rèn)服務(wù)器被 WebShell 注入后，需要及時(shí)清除。具體操作如下：
1.刪除 WebShell 文件
找到 WebShell 文件后，使用如下命令將其刪除：
“`
rm -f /var/www/html/webshell.php
“`
其中，`/var/www/html/webshell.php` 為 WebShell 文件的路徑，需根據(jù)實(shí)際情況修改。
2.修改 Web 服務(wù)器權(quán)限
Web 服務(wù)器的權(quán)限很重要，除了限制訪問(wèn)權(quán)限之外，還需要修改文件上傳目錄等權(quán)限，以防止被非法上傳 WebShell。
a.限制訪問(wèn)權(quán)限
使用如下命令限制訪問(wèn)權(quán)限：
“`
chmod 755 /var/www/html/
“`
其中，`/var/www/html/` 為網(wǎng)站所在目錄，755 表示所有者具有讀、寫(xiě)、執(zhí)行，組用戶和其他用戶具有讀、執(zhí)行權(quán)限。
b.修改文件上傳目錄權(quán)限
對(duì)于文件上傳目錄，建議將其權(quán)限設(shè)置為 777，以確保上傳的文件能夠進(jìn)行操作（例如上傳圖片需要進(jìn)行裁剪等操作）：
“`
chmod 777 /var/www/html/upload/
“`
具體權(quán)限設(shè)置可根據(jù)實(shí)際情況進(jìn)行調(diào)整。
三、防范 WebShell 注入
除了查找并清除 WebShell，更重要的是要加強(qiáng)系統(tǒng)的安全防范，避免 WebShell 注入。具體措施如下：
1.定期更新系統(tǒng)及應(yīng)用程序
通過(guò)定期更新系統(tǒng)及應(yīng)用程序，可以解決已知的漏洞，減少系統(tǒng)的被攻擊的風(fēng)險(xiǎn)，同時(shí)可以提升系統(tǒng)的穩(wěn)定性和可用性。
2.限制 SSH 登錄
使用 SSH 登錄服務(wù)器時(shí)，需要限制登錄的 IP 地址、端口號(hào)以及失敗登錄次數(shù)等，以防止非法登錄。
3.禁止 PHP 函數(shù)
一些 PHP 函數(shù)存在漏洞，可能會(huì)被黑客利用，如 `eval()`、`system()` 等，建議禁止這些函數(shù)的使用，以提高系統(tǒng)安全性。
4.限制文件上傳類型和大小
應(yīng)對(duì)文件上傳漏洞，需要對(duì)上傳文件進(jìn)行檢查，限制上傳文件的類型和大小，以避免非法上傳 WebShell。
WebShell 注入是當(dāng)前互聯(lián)網(wǎng)安全領(lǐng)域的一個(gè)重要問(wèn)題，根據(jù) Linux 系統(tǒng)下查找并刪除 WebShell 的方法，可以及時(shí)清除 WebShell，并且加強(qiáng)系統(tǒng)安全防范，以提高系統(tǒng)的安全性和穩(wěn)定性。在實(shí)際操作過(guò)程中，需要根據(jù)實(shí)際情況進(jìn)行調(diào)整和細(xì)化，以及加強(qiáng)系統(tǒng)的監(jiān)控和管理，建立穩(wěn)健而完善的安全體系。
相關(guān)問(wèn)題拓展閱讀：
- 河馬webshell查殺工具能查出哪些潛在威脅
- 內(nèi)網(wǎng)滲透之http隧道
河馬webshell查殺工具能查出哪些潛在威脅
網(wǎng)站服務(wù)器被黑客入侵，這是我們身邊時(shí)常會(huì)發(fā)生的事情，而當(dāng)我們遇到網(wǎng)站服務(wù)器被入侵時(shí)，就需要借助工具來(lái)排查系統(tǒng)可能存在的安全漏洞，從而快速解決麻煩，規(guī)避風(fēng)險(xiǎn)，這其中webshell檢測(cè)工具是必不可少的。本文為大家介紹6款常見(jiàn)的Webshell檢測(cè)工具，看看你更中意哪一個(gè)?
1、D盾_Web查殺
阿d出品，使用自動(dòng)研發(fā)不分?jǐn)U展名的代碼分析引擎，能分析更為隱藏的webshell后門(mén)行為。
兼容性：只提供windows版本。
下載地址：
2、百度WEBDIR+
下一代Webshell檢測(cè)引擎，采用鎮(zhèn)渣先進(jìn)的動(dòng)態(tài)監(jiān)測(cè)羨鉛技術(shù)，結(jié)合多種引擎零規(guī)則查殺。
兼容性：提供在線查殺木馬，免費(fèi)開(kāi)兄旅好放API支持批量檢測(cè)。
下載地址：
3、河馬
專注webshell查殺研究，擁有海量webshell樣本和自主查殺技術(shù)，采用傳統(tǒng)特征+云端大數(shù)據(jù)雙引擎的查殺技術(shù)。查殺速度快、精度高、誤報(bào)低。
兼容性：支持windows、linux，支持在線查殺。
下載地址：
4、SangforWebShellKill
SangforWebShellKill，網(wǎng)站后門(mén)檢測(cè)工具，是一款web后門(mén)專殺工具，不僅支持webshell的掃描，同時(shí)還支持暗鏈的掃描。是一款融合了多重檢測(cè)引擎的查殺工具。能更精準(zhǔn)地檢測(cè)出web網(wǎng)站已知和未知的后門(mén)文件。
兼容性：支持windows、linux
下載地址：
5、CloudWalker(牧云)
一個(gè)可執(zhí)行的命令行版本webshell檢測(cè)工具。目前，項(xiàng)目已停止更新。
兼容性：提供linux版本，windows暫不支持。
下載地址：
6、PHPMalwareFinder
PHPMalwareFinder是一款優(yōu)秀的檢測(cè)webshell和惡意軟件混淆代碼的工具
兼容性：提供linux，windows暫不支持。
下載地址：
內(nèi)網(wǎng)滲透之http隧道
最近在整理內(nèi)網(wǎng)滲透的一些相關(guān)資料，隧道的搭建是后滲透階段重要的一環(huán)。隨著防守的手段不斷升級(jí)，某些情況下只能搭建http隧道。
簡(jiǎn)介
通過(guò)HTTP協(xié)議與代理服務(wù)器建立連接，把所有要傳送的數(shù)據(jù)全部封裝到HTTP協(xié)議里進(jìn)行傳送，協(xié)議中包含有要連接的遠(yuǎn)程主機(jī)的IP和端口，連接成功之后會(huì)返回給客戶端200，表示驗(yàn)證通過(guò)。
獲取webshell的主機(jī)位于內(nèi)網(wǎng)，并且該內(nèi)網(wǎng)主機(jī)的icmp、dns、tcp和udp協(xié)議等都不能出網(wǎng)，唯一的數(shù)據(jù)通道是webshell搭建正向代理。
根據(jù)代理的穩(wěn)定性、速度推薦Neo-reGeorg、reGeorg、abptts 三款工具。
可以稱為reGeorg的升級(jí)版，且傳輸內(nèi)容經(jīng)過(guò)了base64編碼，避免特征檢查，有效繞過(guò)檢測(cè)。
1.設(shè)置密碼，生成tunnel的webshell，并上傳到目標(biāo)服務(wù)器。
windows上可以使用SocksCap64 或者proxifier工具配置代理。
以windows上的SocksCap64 為例，添加代理。
測(cè)試連接成功。
注意有個(gè)測(cè)試代理地址。
點(diǎn)擊可測(cè)試。
linux上可以使用proxychains代理
編輯
添加代理IP以及端口即可。
kali本地工具就可以通過(guò)proxychains命令全部代理進(jìn)內(nèi)網(wǎng)。
注意代理不支持icmp協(xié)議。proxychains nmap -Pn -sT -sV -v -T4 IP
reGeorg 是 reDuh 的升級(jí)版。主要把內(nèi)網(wǎng)服務(wù)器的端口通過(guò)http或https隧道轉(zhuǎn)發(fā)到本機(jī)。
1.上傳tunnel.nosocket.php到目標(biāo)服務(wù)器。
2.連接tunnel.nosocket.php，配置代理。
在SocksCap64 添加代理。
測(cè)試連接成功。
abptts是一款基于ssl加密的http隧道工具。全程通信數(shù)據(jù)加密有效對(duì)抗檢測(cè)。
1.安裝python依賴庫(kù)
2.本地運(yùn)行，生成webshell
注意：該工具不支持php
將生成的代理腳本選擇性上傳到目標(biāo)服務(wù)盯困散器。
返回hash值，說(shuō)明代理正常執(zhí)行。
建立隧道，將目標(biāo)服務(wù)器的3389和尺滑本地的3389進(jìn)行綁定。
遠(yuǎn)程連接本地的33389端口
另外：
冰蝎本身也有凱氏socks代理。
Tunna 也可以在內(nèi)網(wǎng)代理中轉(zhuǎn)發(fā)端口。
pystinger是通過(guò)webshell來(lái)實(shí)現(xiàn)內(nèi)網(wǎng)的SOCK4代理。
使用python開(kāi)發(fā)，當(dāng)前支持php，jsp(x)，aspx三種代理腳本。可直接用于metasploit，cobalt strike上線。
1.上傳proxy.jsp到目標(biāo)服務(wù)器，確保可以正常訪問(wèn)。
2.上傳stinger_server.exe 到目標(biāo)服務(wù)器，并start命令運(yùn)行該程序
vps 運(yùn)行client端
將會(huì)在vps的6000端口啟用socks4a代理
在SocksCap64 添加代理，測(cè)試一下。
配置60020端口的listener。
選擇payload 生成artifact.exe，觸發(fā)后即可上線。
vps可看到socks連接。
msfvenom生成60020端口的payload.exe
metasploit 配置對(duì)應(yīng)的監(jiān)聽(tīng)
將payload.exe在目標(biāo)機(jī)上觸發(fā)后，即可上線。
linux 查找 webshell的介紹就聊到這里吧，感謝你花時(shí)間閱讀本站內(nèi)容，更多關(guān)于linux 查找 webshell,Linux系統(tǒng)下如何查找并刪除WebShell,河馬webshell查殺工具能查出哪些潛在威脅,內(nèi)網(wǎng)滲透之http隧道的信息別忘了在本站進(jìn)行查找喔。
香港服務(wù)器選創(chuàng)新互聯(lián)，2H2G首月10元開(kāi)通。
創(chuàng)新互聯(lián)（www.cdcxhl.com）互聯(lián)網(wǎng)服務(wù)提供商,擁有超過(guò)10年的服務(wù)器租用、服務(wù)器托管、云服務(wù)器、虛擬主機(jī)、網(wǎng)站系統(tǒng)開(kāi)發(fā)經(jīng)驗(yàn)。專業(yè)提供云主機(jī)、虛擬主機(jī)、域名注冊(cè)、VPS主機(jī)、云服務(wù)器、香港云服務(wù)器、免備案服務(wù)器等。
分享題目：Linux系統(tǒng)下如何查找并刪除WebShell(linux查找webshell)
網(wǎng)址分享：http://www.dlmjj.cn/article/djcdsce.html
