網站木馬檢測小程序與常見木馬清除方法 轉

1、中國的開源軟件很多，但同時也給我們帶來了很多安全問題，網站掛馬成發站長最頭痛的事情，在這裡我寫一個檢測網站木馬PHP的小程序讓大家參考。
' v/ N7 X; t0 P7 e2 S
* j4 C) C3 ?5 n  @" x& S8 o2 f4 |( w軟件原理：一般的木馬都是加密的，所謂的加密反而讓我們檢測帶來了方便，PHP木馬的最明顯特徵是使用了 eval 與 base64_decode 這函數，這樣就很好去檢測了，當然有些CMS的正常文件也可能出現這東西，區別是CMS的文件打開是正常一行一行的，而木馬通常是：
3 ]6 P0 y9 y& ]$ t, y, B( ^
eval(base64_decode(..............));

?>
" o$ |9 r4 p- C( v& |
這樣的代碼，而且基本都是如此，下面是檢測程序：

. J7 J) ~3 O2 m6 X) V& J+ `( Lfunction parAllFiles($d)
, z- V7 x! i+ U+ j5 i
- Z; |3 R, U  w: u8 S, z$ o. A{
; ~+ @, O, }5 F' r' \
$dh = dir($d);

while($filename = $dh->read() )

2 Z# q8 v; o4 J: ^9 Z{

if($filename=='.' || $filename=='..') continue;

$tfile = $d.'/'.$filename;

9 @# c1 D% {9 ~, t7 L' hif(is_dir($tfile))

{
! I/ V! B- P. Z! J  v6 |4 v) c
//echo "檢查到： $tfile
* [$ d8 P( o' b$ F  `) L";

: D0 e. |* J; j+ v4 w% P8 PparAllFiles($tfile);
3 [2 f& s* |" t6 t3 Q
- _) l8 y3 J) k- u4 u}
( C5 V% }: g# M# Z) m
else

{
+ v) r' `% r- x; h# F0 C
2 S; v2 Y  S# K1 N6 k! Eif(!ereg("\.php", $tfile)) continue;
- h0 K6 o$ A1 Y7 `' m5 e! ~
! ~# l/ Q: c' d7 o0 j6 {$bd = file_get_contents($tfile);
: p* l5 R, O% X# x
if(eregi("eval\(", $bd))

( N; J! d9 X; f{
# k5 }8 S  v  n+ y9 N7 z& ?! Y8 o
* q  N8 t; @# hecho "$tfile
& D' U& j* n1 W  i! \\r\n";

}
. G: Y! ^" U* R+ c2 n) [+ g
5 H  v7 J" E; _* L}

}
8 ~) r! v1 y3 z9 i% d0 T
. ~9 v4 C/ F2 W" d& N- b" g# ~6 c* H) Q}
+ E2 `- l- G: `, \" T
parAllFiles(dirname(__FILE__));
. ~! g+ X6 ?' _; T  W
?>

使用這個檢測程序會把所有帶eval的文件作為可疑文件，打開來看一下，如果代碼像前者那樣的，肯定是木馬了。

對於有使用服務器的用戶，記住設置網站權限的一個原則：存放HTML、附件的文件不給予執行腳本權限，執行腳本的文件夾不給予寫入的權限。
7 R- N: s! p) s# Y( o
- x7 S! a, S. N) G" O2、MySQL提權漏洞的處理

7 e. n  f8 O- C3 }0 s, h' IMySQL提權漏洞在windows服務器幾乎是致命的，如果你把WEB木馬都清理後，發現黑客還能掛馬，很可能是這個問題所致的，這要作下面幾方面處理：
, @. n5 V7 F7 a, O/ Z" J
2 I$ g# q8 a3 U6 O(1) 網站的用戶千萬不要用root用戶，如果建立一個沒權限的用戶，然後指定它有操作某數據庫的權限；
1 `6 J: X: o0 i% Z: a8 Y4 h  j; Z
(2) 檢查網站或windows文件，看是否有 udf.dll 或 xudf.dll (x通常是數字1、2、3等)，如果有，說明你的服務器已經中招了，這種木馬是致命的，清除方法是先用net stop mysql停止Mysql，然後刪除這些dll文件，然後用 net start mysql 重新啟動mysql。
4 z' \' n! k# V' l. S% z* U
(目前在phpcms2008、php168最新版都已經發現可能實現mysql提權的致命漏洞，建議做新站的盡量用dedecmsV5.3或Ecms V5.1)