发现入侵者的CentOSLinux服务器的webshell后门

点评：服务器被挂马或黑色的朋友应该知道黑客的Web服务器的第一个目标是服务器上传webshell，一个webshell黑客可以做更多的事情




服务器被挂马的或黑色的朋友应该知道黑客的Web服务器的第一个目标是服务器上传webshell，一个webshell黑客可以做更多的事情。网站挂马后很多人会不知所措，无从查起，是不复杂，下面我就以PHP为例说一些技巧，希望对大家有帮助。
首先，让我们来谈谈想法。如果我们上传webshell的服务器上，我们能找到的线索，如PHP文件的时间。如果我们在上次网站代码更新后找到所有PHP文件，以下方法。
假设最后的更新是10天前，我们可以找到在10天内生成的PHP文件。
发现/无功/ Webroot公司名称*。php-时间- 10
指令：
/无功/ Webroot公司是网站的根目录
名称*。php找到所有的PHP文件
-时间10是一天结束的10天。
如果文件更新的时间是不确定的，我们可以通过查找关键字的方法确定。需要检查webshell熟悉常用词的准确性，我这里列出了一些常用的，其他的我们可以从网络上收集一些webshell，总结自己的关键词，括号中的一些关键的话。我总结了（eval，shell_exec，中继，Popen系统）搜索方法如下：
发现/无功/ Webroot公司名称*。php| xargs grep eval |更多；
发现/无功/ Webroot公司名称*。php| xargs grep shell_exec |更多；
发现/无功/ Webroot公司名称*。php| xargs grep passthru |更多；
当然，您也可以导出到文件，下载并慢慢分析它：
发现/家的名字*。php| xargs grep fsockopen|更多> test.log
我在这里不一一列出，如果你有一个总结的关键词可直接替代。当然，不是所有的文件都是老外写的需要做自己的判断，判断的方法很简单，直接从文件浏览器或webshell和找到自己的方式比较，看得多了，基本上一可以判断不是webshell文件