如果出现文件上传漏洞和命令执行类漏洞（包括命令注入、缓冲区溢出、反序列化等）都会让人担心，系统是否系统已被上传webshell甚至植入木马程序。如果依靠人工排查，一是工作量大二是需要一定程度的技术知识和业务知识才能判断什么是正常什么是异常。工作量大决定排查工作不可能由个别具有技术知识和业务知识的人来完成工作而需要其他人员参与，而如果这些没有“一定程度的技术知识和业务知识”的人员参与基本必然后导致大量的误报和漏报（主要是漏报）。总而言之，在大量设备场景中人工排查后门是很难切实有效推行的排查手段。

所谓服务器后门，其本质其与桌面系统的病毒、木马并没有很大区别。在桌面系统中我们可以轻松使用360点击查杀完成病毒木马的查杀，在服务器我们也可以使用类似工具完成后门的查杀。至于漏报误报必然还是有的但会比人工排查少，至于效率则会高得多。

WebShellKiller是深信服发布的一款webshell查杀工具，支持jsp、asp、aspx、php等脚本的检查。

下载及更详细说明见链接：http://edr.sangfor.com.cn/backdoor_detection.html

由于不是商用产品也不是开源产品，所以不能保证其后续是否持续维护更新，但基于以下两点就算不再更新该产品还是比较可靠的。

首先，从当前效果看使用https://github.com/tennc/webshell.git webshell进行测试绝大部分都是能正确判断。

其次，身为webshell注定其最终必定要生成代码调用那些固定的危险函数，所以webshell的变形是有限制的，也就是所谓的“免杀”其实有比较高的门槛。

WebShellKiller支持windows和linux，我们这里只讲linux，windows直接解压双击运行没有什么操作性就不多讲了。

另外windows平台的webshell查杀还可以使用d盾WebShellKill：http://www.d99net.net/down/WebShellKill_V2.0.9.zip

在线查杀可使用百度webdir+：https://scanner.baidu.com/#/pages/intro

我在本机操作过程如下，本机不能连接什么的只要做等效操作去替代即可

操作截图如下：

clamav是开源木马病毒查杀软件，clamav依靠其数据库clamav-db进行查杀，clamav-db是持续更新的。其他安装可参考官方文档：http://www.clamav.net/documents/installing-clamav

不可联网系统可在可联网的同版本操作系统上下载好rpm包后再上传上去安装，如果gcc、openssl、zlib没安装用类似的方法安装上即可（如果有深层次依赖这操作可能有点痛苦）。

可联网机下载clamav（32位和64位都会下载根据自己操作系统选择使用即可；.i686是32位，.x86_64是64位）：

不可联网机安装和卸载clamav：

前两种安装方式虽然比较方便但安装需要root且文件会散部到各系统文件夹中去，如果同期系统服务出现问题业务说是你装这个东西动了某些文件造成的，虽然这根本是无稽之谈但如果对系统不够了解你难免没有底气。手动编译一可以不使用root二可以安装到指定目录，所以可能比较麻烦（编译时没有报错也就两条命令但这基本是理想状态，首先gcc/openssl/zlib三个依赖不太可能都已装好其次还可能有其他问题）但反而是一种比较稳妥的方式。

不过由于下载病毒库需要联网所以这种方式并不能用于不能连接外网的环境中。

源码下载地址：http://www.clamav.net/downloads

这里以手动安装时为例，如果是yum或rpm形式安装那么默认配置和数据库都装好了，clamscan也已在环境变量中不需要此步。

编缉clamd.conf，修改以下四项（# Example表示将Example那项给注释掉，其余各项具体值根据自己路径修改）：

编缉freshclam.conf，修改以下四项（# Example表示将Example那项给注释掉，其余各项具体值根据自己路径修改）：

完成后最后进入bin目录使用freshclam下载/更新病毒库（如果不挂vpn，会比较慢甚至直接失败原因你懂得）：

记录其中的文件都是可疑文件，clamav主要是针对系统木马病毒的，我电脑没现成病毒以webshell代替，clamav只将少数webshell认为有问题。

一般杀毒软件运行于ring3级别只能查杀ring3级别的木马，rookit是运行于ring0级别的木马，所以查杀rootkit也需要ring0级杀毒程序。Rootkit Hunter正是一款专门查杀rootkit的软件。

项目官网：http://rkhunter.sourceforge.net/

离线rpm包安装类似clamav的3.1.2那样操作即可，这里只介绍yum和手动编译。

前边安装可以使用普通用户，但查杀一定要root才能执行（要想在ring0运行这是必须的）。

 查杀输出六部分分别如下：

第一部分，Checking system commands，进行系统命令的检查，主要是检测系统的二进制文件，因为这些文件最容易被rootkit。显示OK字样表示正常，显示Warning表示有异常，需要引起注意，而显示“Not found”字样，一般无需理会。

第二部分，Checking for rootkits，主要检测常见的rootkit程序，显示绿色的“Not found”表示系统未感染此rootkit。

第三部分，Performing additional rootkit checks，主要是一些特殊或附加的检测，例如对rootkit文件或目录检测、对恶意软件检测以及对指定的内核模块检测。

第四部分，Checking the network/Checking the local host，主要对网络、系统端口、系统启动文件、系统用户和组配置、SSH配置、文件系统等进行检测。

第五部分，主要是对应用程序版本进行检测。(我用时好像没有这部分？)

第六部分，System checks summary，其实是上面输出的一个总结，通过这个总结，可以大概了解服务器目录的安全状态。

实际操作看第一部分误报概率比较大，主要关注第六部分输出中Rootkit checks结果即可。

参考：

http://edr.sangfor.com.cn/backdoor_detection.html

http://www.clamav.net/documents/installing-clamav

http://blog.51cto.com/liuzhengwei521/2308935?source=dra