linux服务器中木马怎么处理

以下从几个方面在说明Linux系统环境安排配置防范和木马后门查杀的方法：

一、Web Server（以Nginx为例）

1、为防止跨站感染，将虚拟主机目录隔离（可以直接利用fpm建立多个程序池达到隔离效果）

2、上传目录、include类的库文件目录要禁止代码执行（Nginx正则过滤）

3、path_info漏洞修正：

在nginx配置文件中增加：

if ($request_filename ~* (.*)\.php) {

set $php_url $1

　 　}

if (!-e $php_url.php) {

return 404

　}

4、重新编译Web Server，隐藏Server信息

5、打开相关级别的日志，追踪可疑请求，请求者IP等相关信息。

二.改变目录和文件属性，禁止写入

find -type f -name \*.php -exec chmod 444 {} \

find -type d -exec chmod 555 {} \

注：当然要排除上传目录、缓存目录等；

同时最好禁止chmod函数，攻击者可通过chmod来修改文件只读属性再修改文件！

三.PHP配置

修改php.ini配置文件，禁用危险函数：

disable_funcions = dl,eval,exec,passthru,system,popen,shell_exec,proc_open,proc_terminate,curl_exec,curl_multi_exec,show_source,touch,escapeshellcmd,escapeshellarg

四.MySQL数据库账号安全：

禁止mysql用户外部链接，程序不要使用root账号，最好单独建立一个有限权限的账号专门用于Web程序。

五.查杀木马、后门

grep -r –include=*.php ‘[^a-z]eval($_POST’ . >grep.txt

grep -r –include=*.php ‘file_put_contents(.*$_POST\[.*\])’ . >grep.txt

把搜索结果写入文件，下载下来慢慢分析，其他特征木马、后门类似。有必要的话可对全站所有文件来一次特征查找，上传图片肯定有也捆绑的，来次大清洗。

查找近2天被修改过的文件：

find -mtime -2 -type f -name \*.php

注意：攻击者可能会通过touch函数来修改文件时间属性来避过这种查找，所以touch必须禁止

六.及时给Linux系统和Web程序打补丁，堵上漏洞

Linux下的木马通常是恶意者通过Web的上传目录的方式来上传木马到Linux服务器，为做防护，我们可根据从恶意者访问网站开始-->Linux系统-->HTTP服务-->中间件服务-->程序代码-->DB-->存储，逐一设卡防护。

1.开发程序代码对上传文件类型做限制，例如不能上传.php程序。

2.对上传的内容进行检测，检测方式可通过程序、Web服务层、数据库等层面控制。

3.控制上传目录的权限以及非站点目录的权限。

4.传上木马文件后的访问和执行控制。

5.对重要配置文件、命令和WEB配置等文件做md5指纹及备份。

6.安装杀毒软件，定期监测查杀木马。

7.配置服务器防火墙及入侵检测服务。

8.监控服务器文件变更、进程变化、端口变化、重要安全日志并及时报警。

内核级木马是使用内核Rootkit技术来隐藏自身的木马病毒。

1、内核级木马病毒产生的原因：

传统用户级木马，由于一些主动防御软件、杀毒软件的免费使用，以及这些工具对其所用伎俩了如指掌、狠杀猛截，危害性已呈逐年下降的趋势。

这就促使了一些木马研究者去探究木马在内核中的隐藏技术，以期达到更好的隐藏效果，逃避传统工具的检测。在这种趋势下，内核级木马病毒也应运而生。

2、内核级木马病毒的作用原理：

内核级木马主要使用内核Rootkit技术来实现对其自身的隐藏。传统的主从型内核级木马的木马功能是在应用层实现的，内核只是起到一个协助隐藏的作用；而应用层的程序具有诸多的特性。

扩展资料：

一、木马病毒传播迅速，主要归因于其传播方式的多样性。内核木马及其他木马病毒的传播方式主要有以下几种：

1、利用下载进行传播，在下载的过程中进入程序，当下载完毕打开文件就将病毒植入到电脑中.

2、利用系统漏洞进行传播，当计算机存在漏洞，就成为木马病毒攻击的对象。

3、利用邮件进行传播，很多陌生邮件里面就掺杂了病毒种子，一旦邮件被打开，病毒就被激活。

4、利用远程连接进行传播。

5、利用网页进行传播，在浏览网页时会经常出现很多跳出来的页面，这种页面就是病毒驻扎的地方。

6、利用蠕虫病毒进行传播等。

二、木马病毒对用户计算机造成的危害很严重，具体如下：

木马病毒对计算机的直接破坏方式是改写磁盘，对计算机数据库进行破坏，给用户带来不便。当木马破坏程序后，使得程序无法运行，给计算机的整体运行带来严重的影响。

另外，一些木马可以通过磁盘的引导区进行，病毒具有强烈的复制功能，把用户程序传递给外部链接者。还可以更改磁盘引导区，造成数据形成通道破坏。病毒也通过大量复制抢占系统资源，对系统运行环境进行干扰，影响计算机系统运行速度。

参考资料来源：百度学术-内核级木马隐藏技术研究

参考资料来源：百度百科-木马病毒

---