当前位置：首页 > linux教程 > 列表

Linux服务器 php木马排查及增强安全措施

发布:smiling　来源: PHP粉丝网 　添加日期：2015-04-22 20:10:37　浏览: 评论：0　

本文我们来介绍一下用php排查linux服务器木马及加增安全防护,开源的程序如discuz x漏洞比较明显,很容易上传websehll,要把漏洞补到最小才能安全使用.

网站频繁被挂马?做一些改进,基本上能把这个问题解决,因为discuz x等程序存在漏洞,被上传了websehll,每次被删除过段时间又出来了,最终查到所有的木马.

从以下几个方面查找并加强,如果能不开启会员功能,不给任何上传入口,保护好后台密码,加固好PHP,一般就没什么问题了.

1.根据特征码查找,php木马一般含有如下代码:

<?php eval($_POST[cmd]);?>或者:

  1. <?php assert($_POST[cmd]);?> 
  2. find /wwwroot/* -type f -name "*.php" |xargs grep "eval(" > /wwwroot/scan.txt 

结果就查出很多明显的webshell,并且发现都藏在attachment等目录下.

2.利用网上的一个php代码,搜索最近被修改的文件 scandir.php 代码如下:

  1. <?php 
  2. set_time_limit(0);//防止超时 
  3. /** 
  4. * 
  5. * php目录扫描监控增强版 
  6. * 
  7. * @author lssbing (lssbing#gmail.com) 
  8. * @date 2010-1-18 
  9. * @license BSD 
  10. * @version 1.0 
  11. * 
  12. 下面几个变量使用前需要手动设置 
  13. * 
  14. **/ 
  15. /*===================== 程序配置 =====================*/ 
  16. $pass="12345";//设置密码 
  17. $jkdir="."; //设置监控扫描的目录，当前目录为'.'，上一级目录为'..'，也可以设置绝对路径，后面不要加斜杠，默认为当前目录 
  18. $logfilename="./m.log";//设置存储log的路径，可以放置在任意位置 
  19. $exclude=array('data','images');//排除目录 
  20. $danger='eval|cmd|passthru|gzuncompress';//设置要查找的危险的函数 以确定是否木马文件 
  21. $suffix='php|inc';//设置要扫描文件的后缀 
  22. /*===================== 配置结束 =====================*/ 
  23.  
  24. $filename=$_GET['filename']; 
  25. $check=$_GET['check']; 
  26. $jumpoff=false; 
  27. $url = $_SERVER['PHP_SELF']; 
  28. $thisfile = end(explode('/',$url)); 
  29. $jump="{$thisfile}|".implode('|',$exclude); 
  30. $jkdir_num=$file_num=$danger_num=0; 
  31. define('M_PATH',$jkdir); 
  32. define('M_LOG',$logfilename); 
  33. if ($check=='check') 
  34. { 
  35. $safearr = explode("|",$jump); 
  36. $start_time=microtime(true); 
  37. safe_check($jkdir); 
  38. $end_time=microtime(true); 
  39. $total=$end_time-$start_time; 
  40. $file_num=$file_num-$jkdir_num; 
  41. $message= " 文件数:".$file_num; 
  42. $message.= " 文件夹数：".$jkdir_num; 
  43. $message.= " 可疑文件数：".$danger_num; 
  44. $message.= " 执行时间：".$total; 
  45. echo $message; 
  46. }else{ 
  47. if ($_GET['m']=="del") Delete();//处理文件删除 
  48. //读取文件内容 
  49. if(isset($_GET['readfile'])){ 
  50. //输出查看密码，密码校验正确以后输出文件内容 
  51. if(emptyempty($_POST['passchack'])){ 
  52.    echo"<form id="form1" name="form1" method="post">" 
  53.     . " <label>pass" 
  54.     . " <input type="text" name="passchack" />" 
  55.     . " </label>" 
  56.     . " <input type="submit" name="Submit" value="提交" />" 
  57.     . "</form>" 
  58.    .""; 
  59.    exit; 
  60. }elseif(isset($_POST['passchack'])&&$_POST['passchack']==$pass){ 
  61.    $code=file_get_contents($_GET['readfile']); 
  62.    echo"<textarea name="code" cols="150" rows="30" id="code" style='width:100%;height:450px;background:#cccccc;'>{$code}</textarea>"; 
  63.    exit; 
  64. }else{ 
  65.    exit; 
  66. } 
  67.  
  68. }else{ 
  69. record_md5(M_PATH); 
  70. if(file_exists(M_LOG)){ 
  71.         $log = unserialize(file_get_contents(M_LOG)); 
  72. }else{ 
  73.         $log = array(); 
  74. } 
  75.  
  76. if($_GET['savethis']==1){ 
  77. //保存当前文件md5到日志文件 
  78. @unlink(M_LOG); 
  79. file_put_contents(M_LOG,serialize($file_list)); 
  80. echo "<a href='scandir.php'>保存成功！点击返回</a>"; 
  81. exit; 
  82. } 
  83. if(emptyempty($log)){ 
  84. echo "当前还没有创建日志文件！点击[保存当前]创建日志文件！"; 
  85. }else{ 
  86. if($file_list==$log){ 
  87.    echo "本文件夹没有做过任何改动！"; 
  88. }else{ 
  89.    if(count($file_list) > 0 ){ 
  90.     foreach($file_list as $file => $md5){ 
  91.     if(!isset($log[$file])){ 
  92.      echo "新增文件：<a href={$file} target='_blank'>".$file."</a>"." 创建时间：".date("Y-m-d H:i:s",filectime($file))." 修改时间：".date("Y-m-d H:i:s",filemtime($file))." <a href=?readfile={$file} target='_blank'>源码</a><a href='?m=del&filename={$file}' target='_blank'>删除</u></a><br />"; 
  93.     }else{ 
  94.      if($log[$file] != $md5){ 
  95.      echo "修改文件：<a href={$file} target='_blank'>".$file."</a>"." 创建时间：".date("Y-m-d H:i:s",filectime($file))." 修改时间：".date("Y-m-d H:i:s",filemtime($file))." <a href=?readfile={$file} target='_blank'>源码</a><br />"; 
  96.  
  97.      unset($log[$file]); 
  98.      }else{ 
  99.      unset($log[$file]); 
  100.      } 
  101.     } 
  102.     } 
  103.    } 
  104.    if(count($log)>0){ 
  105.     foreach($log as $file => $md5){ 
  106.     echo "删除文件：<a href={$file} target='_blank'>".$file."</a><br />"; 
  107.     } 
  108.    } 
  109.     } 
  110. } 
  111. } 
  112. } 
  113.  
  114. //计算md5 
  115. function record_md5($jkdir){ 
  116.         global $file_list,$exclude; 
  117.         if(is_dir($jkdir)){ 
  118.                 $file=scandir($jkdir); 
  119.                 foreach($file as $f){ 
  120.                         if($f!='.' && $f!='..' && !in_array($f, $exclude)){ 
  121.                                 $path = $jkdir.'/'.$f; 
  122.                                 if(is_dir($path)){ 
  123.                                         record_md5($path); 
  124.                                 }else{ 
  125.                                         $file_list[$path]=md5_file($path); 
  126.                                 } 
  127.                         } 
  128.                 } 
  129.         } 
  130. } 
  131.  
  132. function Safe_Check($jkdir)//遍历文件 
  133. { 
  134. global $danger ,$suffix ,$jkdir_num ,$file_num ,$danger_num; 
  135.  
  136. $hand=@dir($jkdir) or die('文件夹不存在') ; 
  137. while ($file=$hand->read()) 
  138. { 
  139.     $filename=$jkdir.'/'.$file; 
  140.     if (!$jumpoff) { 
  141.    if(Jump($filename))continue; 
  142.     } 
  143.     if(@is_dir($filename) && $file != '.' && $file!= '..'&& $file!='./..') 
  144.     {   $jkdir_num++; 
  145.     Safe_Check($filename); 
  146.     } 
  147.     if (preg_match_all ("/.($suffix)/i",$filename,$out)) 
  148.     { 
  149.  
  150.    $str=''; 
  151.    $fp = @fopen($filename,'r')or die('没有权限'); 
  152.    while(!feof($fp)) 
  153.    { 
  154.    $str .= fgets($fp,1024); 
  155.    } 
  156.    fclose($fp); 
  157.    if( preg_match_all ("/($danger)[ rnt]{0,}([[(])/i",$str,$out)) 
  158.    { 
  159.    echo "<font color='green' style='font-size:14px'>可疑文件：{$filename}</font>"." 创建时间：".date("Y-m-d H:i:s",filectime($filename))." 修改时间：".date("Y-m-d H:i:s",filemtime($filename))." <a href='?readfile={$filename}' target='_blank'><u>查看代码</u></a> <a href='?m=del&filename=$filename' target='_blank'>删除</u></a><br>"; 
  160.    $danger_num++; 
  161.    } 
  162.     } 
  163.     $file_num++; 
  164. } 
  165. } 
  166. function Edit()//查看可疑文件 
  167. { 
  168. global $filename; 
  169. $filename = str_replace("..","",$filename); 
  170. $file = $filename; 
  171. $content = ""; 
  172. if(is_file($file)) 
  173. { 
  174.     $fp = fopen($file,"r")or die('没有权限'); 
  175.     $content = fread($fp,filesize($file)); 
  176.     fclose($fp); 
  177.     $content = htmlspecialchars($content); 
  178.  
  179. } 
  180. echo "<textarea name='str' style='width:100%;height:450px;background:#cccccc;'>$content</textarea>rn"; 
  181. exit(); 
  182. } 
  183. function Delete()//删除文件 
  184. { global $filename,$pass; 
  185. if(emptyempty($_POST['passchack'])){ 
  186.     echo"<form id="form1" name="form1" method="post">" 
  187.    . " <label>pass" 
  188.    . " <input type="text" name="passchack" />" 
  189.    . " </label>" 
  190.    . " <input type="submit" name="Submit" value="提交" />" 
  191.    . "</form>"  //phpfensi.com 
  192.     .""; 
  193.     exit; 
  194. }elseif(isset($_POST['passchack'])&&$_POST['passchack']==$pass){ 
  195.    (is_file($filename))?($mes=unlink($filename)?'删除成功':'删除失败 查看权限'):''; 
  196.    echo $mes; 
  197.    exit(); 
  198. }else{ 
  199.    echo '密码错误！'; 
  200.    exit; 
  201. } 
  202. } 
  203. function Jump($file)//跳过文件 
  204. { 
  205. global $jump,$safearr; 
  206. if($jump != '') 
  207. { 
  208.     foreach($safearr as $v) 
  209.     { 
  210.    if($v=='') continue; 
  211.    if( eregi($v,$file) ) return true ; 
  212.     } 
  213. } 
  214. return false; 
  215. } 
  216. ?> 
  217. <a href="scandir.php">[查看文件改动]</a>|<a href="scandir.php?savethis=1">[保存当前文件指纹]</a>|<a href="scandir.php?check=check">[扫描可疑文件]</a>

执行后能看到最近被修改的文件,具有参加价值.

3.修改php.ini,限制以下函数:

  1. disable_functions =  phpinfo,passthru,exec,system,chroot,chgrp,chown,shell_exec,proc_open,proc_get_status,ini_alter,ini_alter,ini_restore,dl,pfsockopen,openlog,syslog,readlink,symlink,popepassthru,stream_socket_server,fsocke,popen,proc_close,curl_exec,curl_multi_exec,parse_ini_file,show_source,dl,escapeshellarg,escapeshellcmd 

4.修改nginx.conf,限制一些目录执行php文件,代码如下:

  1. server 
  2. { 
  3.     listen       80; 
  4.     server_name  www.***.com; 
  5.     index   index.htm index.html index.php; 
  6.     root  /wwwroot/; 
  7.  
  8.     rewrite ^([^.]*)/topic-(.+).html$ $1/portal.php?mod=topic&topic=$2 last; 
  9.     rewrite ^([^.]*)/article-([0-9]+)-([0-9]+).html$ $1/portal.php?mod=view&aid=$2&page=$3 last; 
  10.     rewrite ^([^.]*)/forum-(w+)-([0-9]+).html$ $1/forum.php?mod=forumdisplay&fid=$2&page=$3 last; 
  11.     rewrite ^([^.]*)/thread-([0-9]+)-([0-9]+)-([0-9]+).html$ $1/forum.php?mod=viewthread&tid=$2&extra=page%3D$4&page=$3 last; 
  12.     rewrite ^([^.]*)/group-([0-9]+)-([0-9]+).html$ $1/forum.php?mod=group&fid=$2&page=$3 last; 
  13.     rewrite ^([^.]*)/space-(username|uid)-(.+).html$ $1/home.php?mod=space&$2=$3 last; 
  14.     rewrite ^([^.]*)/([a-z]+)-(.+).html$ $1/$2.php?rewrite=$3 last; 
  15.     rewrite ^([^.]*)/topic-(.+).html$ $1/portal.php?mod=topic&topic=$2 last; 
  16.          
  17.  
  18.         location ~ ^/images/.*.(php|php5)$ 
  19.                 { 
  20.               deny all; 
  21.                 } 
  22.  
  23.         location ~ ^/static/.*.(php|php5)$ 
  24.                 { 
  25.                deny all; 
  26.                 } 
  27.  
  28.         location ~* ^/data/(attachment|avatar)/.*.(php|php5)$ 
  29.             { 
  30.                 deny all; 
  31.             } 
  32.  
  33.     location ~ .*.(php|php5)?$ 
  34.     {       
  35.       fastcgi_pass  127.0.0.1:9000; 
  36.       fastcgi_index index.php; 
  37.       include fcgi.conf; 
  38.     } 
  39.      
  40.          
  41.  
  42. error_page  400 /404.html; 
  43. error_page  403 /404.html; 
  44. error_page  404 /404.html; 
  45. error_page  405 /404.html; 
  46. error_page  408 /404.html; 
  47. error_page  410 /404.html; 
  48. error_page  411 /404.html; 
  49. error_page  412 /404.html; 
  50. error_page  413 /404.html; 
  51. error_page  414 /404.html; 
  52. error_page  415 /404.html; 
  53. error_page  500 /404.html; 
  54. error_page  501 /404.html; 
  55. error_page  502 /404.html; 
  56. error_page  503 /404.html; 
  57. error_page  506 /404.html; 
  58. //phpfensi.com 
  59. log_format  acclog    "$remote_addr $request_time $http_x_readtime [$time_local] "$request_method http://$host$request_uri" $status $body_bytes_sent "$http_referer" "$http_user_agent""; 
  60.         access_log  /logs/access.log  acclog; 
  61. } 

此处需要注意的是如下代码:

  1. location ~ ^/images/.*.(php|php5)$ 
  2. { 
  3.   deny all; 
  4. } 

这些目录的限制必须写在如下代码:

  1. location ~ .*.(php|php5)?$ 
  2. {       
  3.   fastcgi_pass  127.0.0.1:9000; 
  4.   fastcgi_index index.php; 
  5.   include fcgi.conf; 
  6. } 

的前面,否则限制不生效.

Tags: Linux服务器 php木马

分享到：

推荐文章

热门文章

最新评论文章