網站木馬檢測小程序與常見木馬清除方法 轉

1、中國的開源軟件很多，但同時也給我們帶來了很多安全問題，網站掛馬成發站長最頭痛的事情，在這裡我寫一個檢測網站木馬PHP的小程序讓大家參考。
& u& i4 T+ L' E
( E4 Z$ Y+ c8 |2 D7 B& r: [7 N# I軟件原理：一般的木馬都是加密的，所謂的加密反而讓我們檢測帶來了方便，PHP木馬的最明顯特徵是使用了 eval 與 base64_decode 這函數，這樣就很好去檢測了，當然有些CMS的正常文件也可能出現這東西，區別是CMS的文件打開是正常一行一行的，而木馬通常是：

1 A* q4 e) i$ v* K) N. N+ g' j( H* Neval(base64_decode(..............));
8 s7 Q& U) G# J5 d- M/ `1 O
?>

這樣的代碼，而且基本都是如此，下面是檢測程序：
5 H& @9 L6 \" O; g2 X" ?9 A
4 i% I, x" @: O) s2 e; ffunction parAllFiles($d)

: V) q: q8 F  `+ _# K, [' N{

/ C  q( u4 J* P3 O7 ~$dh = dir($d);
8 @5 B" A! w+ O. W: E# j7 S& k0 @
while($filename = $dh->read() )

0 x& m* a, N# R3 v{
8 q. Q! f/ h  {$ v" D. y( W  A
( M6 |8 c2 ~- r- ~! [2 A( }if($filename=='.' || $filename=='..') continue;

& `+ P$ k* ?  g. K$ T$tfile = $d.'/'.$filename;
' d+ @/ Q- J7 [
if(is_dir($tfile))
* B# G2 G/ o0 d- r! Z7 q
0 H; L$ R) k2 f% G* D7 {/ ^0 b+ i6 D{

//echo "檢查到： $tfile
";
6 O3 w( B) R  y0 l8 y. g
parAllFiles($tfile);

}
) x0 v+ w( J% R! T9 o
0 W5 P1 V# N- m, K. i$ ]else

2 Q" i; c' w: q7 g{

if(!ereg("\.php", $tfile)) continue;

' J; ?& J4 l4 I/ C$ a# T/ p$bd = file_get_contents($tfile);
1 ^! X  J: k; d9 }4 `2 t' w0 @
) v1 b* S4 a4 V$ M3 Oif(eregi("eval\(", $bd))

% d# A4 F2 E' N6 |5 x- ?{
7 O. w7 Y( ~3 x$ t% ^
echo "$tfile
# H: t3 c. e# w\r\n";

) k; a9 l: |; l}

}
9 N  F6 Q: k! V% j8 u
3 X& u* x5 n; j9 T}

}

parAllFiles(dirname(__FILE__));

  X8 ~+ h0 x7 o  J8 h: G?>

使用這個檢測程序會把所有帶eval的文件作為可疑文件，打開來看一下，如果代碼像前者那樣的，肯定是木馬了。

9 M- ]' l$ z. Y1 N. S* h4 z對於有使用服務器的用戶，記住設置網站權限的一個原則：存放HTML、附件的文件不給予執行腳本權限，執行腳本的文件夾不給予寫入的權限。
7 j' b6 T$ P0 K
2、MySQL提權漏洞的處理
; b' ?0 E. M' W" w6 ]8 f9 N) X
6 r2 N  F9 @# g( x/ O& eMySQL提權漏洞在windows服務器幾乎是致命的，如果你把WEB木馬都清理後，發現黑客還能掛馬，很可能是這個問題所致的，這要作下面幾方面處理：

2 b! h) t$ y# U6 L7 }8 t(1) 網站的用戶千萬不要用root用戶，如果建立一個沒權限的用戶，然後指定它有操作某數據庫的權限；
5 G& z; U2 H6 F1 }; {3 a. Z
(2) 檢查網站或windows文件，看是否有 udf.dll 或 xudf.dll (x通常是數字1、2、3等)，如果有，說明你的服務器已經中招了，這種木馬是致命的，清除方法是先用net stop mysql停止Mysql，然後刪除這些dll文件，然後用 net start mysql 重新啟動mysql。
2 R3 o3 C" P; ?1 f$ y1 |
(目前在phpcms2008、php168最新版都已經發現可能實現mysql提權的致命漏洞，建議做新站的盡量用dedecmsV5.3或Ecms V5.1)