網站木馬檢測小程序與常見木馬清除方法 轉

1、中國的開源軟件很多，但同時也給我們帶來了很多安全問題，網站掛馬成發站長最頭痛的事情，在這裡我寫一個檢測網站木馬PHP的小程序讓大家參考。
  {2 v% K, }4 Y; Z8 x  t: _
! \. ^, J" ~8 Y8 W% z( E+ \軟件原理：一般的木馬都是加密的，所謂的加密反而讓我們檢測帶來了方便，PHP木馬的最明顯特徵是使用了 eval 與 base64_decode 這函數，這樣就很好去檢測了，當然有些CMS的正常文件也可能出現這東西，區別是CMS的文件打開是正常一行一行的，而木馬通常是：
5 d: ?- k2 g+ D7 i1 n, N$ F
& E$ a) M( U* v/ [6 d4 weval(base64_decode(..............));
' s0 d3 r. ?+ X( {/ V
0 `+ L& x  h# _7 Y  D$ d% ~?>

這樣的代碼，而且基本都是如此，下面是檢測程序：
; M  D/ }8 M: i6 Z; }# ?  U% ~: {
1 K* q" P1 @  s2 a- afunction parAllFiles($d)
& |% d) z. R. ?, I
# u8 O; ]2 L6 ?9 @* N{
* H+ q' W! ]8 N5 O% m6 c
$dh = dir($d);

- d( `6 Q2 `; f+ J1 fwhile($filename = $dh->read() )

{
' |* U+ g8 k% A. B% ~
if($filename=='.' || $filename=='..') continue;
# L0 N# \6 z: p1 M2 j2 j1 Z
4 Z) Q* X$ @4 b) s$tfile = $d.'/'.$filename;
- w  R5 y* i7 }6 n5 |/ i) \6 p
. \0 E! @% T0 w& {5 n0 Mif(is_dir($tfile))
4 N. r' y" Q  N* o8 }* q; j
{
! j4 K# F( S7 I. v* f, M( d0 Q
& w$ H8 |' b1 s5 r2 L% V//echo "檢查到： $tfile
3 S7 m' b+ t! {  @";

% t4 [- I1 R. Y5 D7 m- I8 yparAllFiles($tfile);

# b6 H, p1 _( e9 c. F}

* B* L" r3 l) a1 B2 Uelse
  v+ r, {8 G  }( W& c
. S6 Q! _8 J  t9 }; e. D{

if(!ereg("\.php", $tfile)) continue;

$bd = file_get_contents($tfile);

if(eregi("eval\(", $bd))
0 }( J7 A% N* g! ^( m
$ k  H) a* j9 Q2 V{

echo "$tfile
\r\n";
* i. f3 k/ `( ^2 k
& b  a0 W$ _* S- h}

}

( O9 [+ B+ Y  D  S6 ~4 ~}

7 @" O& `- V) Y( }6 T}

parAllFiles(dirname(__FILE__));

3 P$ ^) w2 ^6 h% r+ X( p8 d8 m?>

使用這個檢測程序會把所有帶eval的文件作為可疑文件，打開來看一下，如果代碼像前者那樣的，肯定是木馬了。

對於有使用服務器的用戶，記住設置網站權限的一個原則：存放HTML、附件的文件不給予執行腳本權限，執行腳本的文件夾不給予寫入的權限。

; P* E4 r6 p! f2、MySQL提權漏洞的處理

MySQL提權漏洞在windows服務器幾乎是致命的，如果你把WEB木馬都清理後，發現黑客還能掛馬，很可能是這個問題所致的，這要作下面幾方面處理：
, s4 c0 W8 d! ~; i1 c
(1) 網站的用戶千萬不要用root用戶，如果建立一個沒權限的用戶，然後指定它有操作某數據庫的權限；

(2) 檢查網站或windows文件，看是否有 udf.dll 或 xudf.dll (x通常是數字1、2、3等)，如果有，說明你的服務器已經中招了，這種木馬是致命的，清除方法是先用net stop mysql停止Mysql，然後刪除這些dll文件，然後用 net start mysql 重新啟動mysql。
6 \( n4 p4 C: P0 i
( v, n4 Q: H/ K" ~  P$ `! H(目前在phpcms2008、php168最新版都已經發現可能實現mysql提權的致命漏洞，建議做新站的盡量用dedecmsV5.3或Ecms V5.1)