PHP木馬主要用于攻擊網(wǎng)站，會在網(wǎng)站中插入代碼，在Linux系統(tǒng)中，可使用shell命令檢測PHP木馬，為了防止腳本木馬的破壞，保證網(wǎng)站的安全，學(xué)會使用shell命令查找PHP木馬是非常重要的，下面小編就給大家介紹下方法。
1、一句話查找PHP木馬
代碼如下
# find 。/ -name “*.php” |xargs egrep “phpspy|c99sh|milw0rm|eval＼（gunerpress|eval＼（base64_decoolcode|spider_bc”》 /tmp/php.txt
# grep -r --include=*.php ‘［^a-z］eval（$_POST’ 。 》 /tmp/eval.txt
# grep -r --include=*.php ‘file_put_contents（.*$_POST＼［.*＼］）;’ 。 》 /tmp/file_put_contents.txt
# find 。/ -name “*.php” -type f -print0 | xargs -0 egrep “（phpspy|c99sh|milw0rm|eval＼（gzuncompress＼（base64_decoolcode|eval＼（base64_decoolcode|spider_bc|gzinflate）” | awk -F： ‘{print $1}’ | sort | uniq
2、查找最近一天被修改的PHP文件
一般站點(diǎn)里的頁面文件都很少更改，當(dāng)然動態(tài)臨時(shí)生成的除外。而那些一般不會變的頁面目錄里的文件如果被修改了，可大可能是被人做了手腳。
代碼如下
# find -mtime -1 -type f -name ＼*.php
3、修改網(wǎng)站的權(quán)限
代碼如下
# find -type f -name ＼*.php -exec chmod 444 {} ＼;
# find 。/ -type d -exec chmod 555{} ＼;
4、常見的一句話后門：
代碼如下
grep -r --include=*.php ‘［^a-z］eval（$_POST’ 。 》 grep.txt
grep -r --include=*.php ‘file_put_contents（.*$_POST＼［.*＼］）;’ 。 》 grep.txt
把搜索結(jié)果寫入文件，下載下來慢慢分析，其他特征木馬、后門類似。有必要的話可對全站所有文件來一次特征查找，上傳圖片肯定有也捆綁的，來次大清洗
5、禁用不常用函數(shù)
將用不到的權(quán)限又比較大的php函數(shù)在php.ini文件里禁掉。修改方法如下：
disable_functions = system，exec，shell_exec
上面就是Linux使用shell命令檢測PHP木馬的方法介紹了，在不確定自己的網(wǎng)站是否被攻擊的情況下，最好使用shell命令檢測下。
