網站木馬檢測小程序與常見木馬清除方法 轉

1、中國的開源軟件很多，但同時也給我們帶來了很多安全問題，網站掛馬成發站長最頭痛的事情，在這裡我寫一個檢測網站木馬PHP的小程序讓大家參考。
+ T$ A5 a" k- E" D: \" N
軟件原理：一般的木馬都是加密的，所謂的加密反而讓我們檢測帶來了方便，PHP木馬的最明顯特徵是使用了 eval 與 base64_decode 這函數，這樣就很好去檢測了，當然有些CMS的正常文件也可能出現這東西，區別是CMS的文件打開是正常一行一行的，而木馬通常是：
) @, D" h7 i& z$ M- {' Y1 L! @6 U8 S
eval(base64_decode(..............));

?>
) T: z6 l, v, P
" D0 C* y' y- z4 z, }2 g" N這樣的代碼，而且基本都是如此，下面是檢測程序：
  V* @/ P- ~7 S3 ~6 W5 x
function parAllFiles($d)
2 E) \  e$ R' k5 g/ I
$ }: m& {2 b/ g! V# _8 [& v{
/ t) i  J) j. A. ^) ^
$dh = dir($d);
- s& p4 ]5 [7 {5 _0 J; h0 ]
7 W/ T  P3 U% V0 Qwhile($filename = $dh->read() )
2 J7 ~! q# [) q" ^0 [$ z
- V, e5 w1 e* f; K( P6 ]{
. |* u/ e3 W( [$ O/ _
if($filename=='.' || $filename=='..') continue;
5 T& [/ U$ r* L
$tfile = $d.'/'.$filename;

& l! M% m4 I* N. h  Nif(is_dir($tfile))

{
% g: o: v; O) S2 X6 G7 _
//echo "檢查到： $tfile
";

parAllFiles($tfile);

}
* e6 V/ O! w% O7 \% X% k
else

{

if(!ereg("\.php", $tfile)) continue;

$bd = file_get_contents($tfile);
% S( g' f8 G! p# a$ g  `
0 L7 P" m( e! _: p, [. gif(eregi("eval\(", $bd))

5 j. [% g$ x  D" b2 f) d3 T{

echo "$tfile
; Z7 o. }$ I- ]! X\r\n";

}
' E% s; g) I. Q& F& l4 y' h8 A
}
5 C( h0 u7 `/ H' W9 z* t
}

9 P# ?* n$ b: X! V}
! J* h) Y, L! F$ `7 {/ ]( E
& r3 R0 O1 F/ ~. s, U6 YparAllFiles(dirname(__FILE__));

) p4 p$ q8 c  @. k! j?>
$ Y+ F# A% x$ \$ E
使用這個檢測程序會把所有帶eval的文件作為可疑文件，打開來看一下，如果代碼像前者那樣的，肯定是木馬了。

- P( b" P* f# k+ W對於有使用服務器的用戶，記住設置網站權限的一個原則：存放HTML、附件的文件不給予執行腳本權限，執行腳本的文件夾不給予寫入的權限。
! o+ O& b) N6 T3 V- j8 v
2、MySQL提權漏洞的處理
7 P* ?. ]) a  I2 J( }& O4 S
1 h$ S9 M  H0 ~( j8 b* bMySQL提權漏洞在windows服務器幾乎是致命的，如果你把WEB木馬都清理後，發現黑客還能掛馬，很可能是這個問題所致的，這要作下面幾方面處理：

(1) 網站的用戶千萬不要用root用戶，如果建立一個沒權限的用戶，然後指定它有操作某數據庫的權限；

(2) 檢查網站或windows文件，看是否有 udf.dll 或 xudf.dll (x通常是數字1、2、3等)，如果有，說明你的服務器已經中招了，這種木馬是致命的，清除方法是先用net stop mysql停止Mysql，然後刪除這些dll文件，然後用 net start mysql 重新啟動mysql。

(目前在phpcms2008、php168最新版都已經發現可能實現mysql提權的致命漏洞，建議做新站的盡量用dedecmsV5.3或Ecms V5.1)