網站木馬檢測小程序與常見木馬清除方法 轉

1、中國的開源軟件很多，但同時也給我們帶來了很多安全問題，網站掛馬成發站長最頭痛的事情，在這裡我寫一個檢測網站木馬PHP的小程序讓大家參考。
) P9 I( B: s8 N) @9 R. X) \8 w
2 ]. W4 ]5 k. ]% \* f' W: ^軟件原理：一般的木馬都是加密的，所謂的加密反而讓我們檢測帶來了方便，PHP木馬的最明顯特徵是使用了 eval 與 base64_decode 這函數，這樣就很好去檢測了，當然有些CMS的正常文件也可能出現這東西，區別是CMS的文件打開是正常一行一行的，而木馬通常是：
. \( Z* B( q+ J1 \# _+ \1 `1 E
eval(base64_decode(..............));

?>
2 z0 O9 W! C  M, O1 R' {
5 _9 ~, u6 G7 v4 ]( K* H1 H這樣的代碼，而且基本都是如此，下面是檢測程序：

function parAllFiles($d)

' U3 L6 w+ a1 E{
* r6 D$ P5 j3 r8 y& r: Q, Z
$dh = dir($d);
. |4 v3 Z0 T$ g  Q) G
: D6 u, _4 q9 @& B& g$ }while($filename = $dh->read() )

{

, t4 ]# r" U( U$ |# i  S# Xif($filename=='.' || $filename=='..') continue;
9 J' q; {2 T& C% g. C
0 u- J, ]0 a. D. |- c) k$tfile = $d.'/'.$filename;

2 B  r3 }! Y' X5 z# U( D, }( ?! pif(is_dir($tfile))
! t% u% A0 M: T
{

6 V0 w" r) K2 |//echo "檢查到： $tfile
";

3 y# Q6 m3 u/ e8 v/ L! T' \parAllFiles($tfile);

) x3 w4 |1 V8 l' Y5 E1 w, I2 \}
: j& d3 j; ~) h) Y' {
else

{
1 V  E, J0 V8 e1 z# t' J' W
, J+ x- z$ i+ C. H9 k! h% M, [if(!ereg("\.php", $tfile)) continue;

$bd = file_get_contents($tfile);

if(eregi("eval\(", $bd))
& ~- W5 p% X3 O3 D
{
) Z0 {' t% G! K' R& w/ F* U4 }* X
echo "$tfile
  \, u: U+ R# F0 G\r\n";
/ u8 P$ T+ U* ?: [+ l+ s6 B2 B
- T* u- Q7 p1 v8 }9 _}
, H; J) \; |% D8 @
3 V2 T' U: x% [( j) p, n}

% k; ]) c0 C" O7 I% \" X) A6 p4 B}

6 p: h1 ^, ?* Y7 Q+ H; Q}
$ _1 j# n+ v" q9 L: ~
0 W3 p8 v% F: {8 H; v1 cparAllFiles(dirname(__FILE__));
( e# N: M/ f) u! P1 i. M
1 {/ C! n1 c& v" D?>

" W9 t' z5 Y4 G  n  w, ~使用這個檢測程序會把所有帶eval的文件作為可疑文件，打開來看一下，如果代碼像前者那樣的，肯定是木馬了。

對於有使用服務器的用戶，記住設置網站權限的一個原則：存放HTML、附件的文件不給予執行腳本權限，執行腳本的文件夾不給予寫入的權限。
4 _7 q! t& d) S  U2 K
2、MySQL提權漏洞的處理
3 w& j/ p$ a) {( z: H9 g" F! O
MySQL提權漏洞在windows服務器幾乎是致命的，如果你把WEB木馬都清理後，發現黑客還能掛馬，很可能是這個問題所致的，這要作下面幾方面處理：
$ H! ^0 D; R, R% S% o9 C; X) Z0 M) u
9 R8 u' B% K! H9 r8 l7 m(1) 網站的用戶千萬不要用root用戶，如果建立一個沒權限的用戶，然後指定它有操作某數據庫的權限；

(2) 檢查網站或windows文件，看是否有 udf.dll 或 xudf.dll (x通常是數字1、2、3等)，如果有，說明你的服務器已經中招了，這種木馬是致命的，清除方法是先用net stop mysql停止Mysql，然後刪除這些dll文件，然後用 net start mysql 重新啟動mysql。
  }% j: L. f& h/ f
(目前在phpcms2008、php168最新版都已經發現可能實現mysql提權的致命漏洞，建議做新站的盡量用dedecmsV5.3或Ecms V5.1)