利用Linux命令find查找PHP木马

Linux本身相对Win来讲安全点，因为好多人不会命令，这就是优点啊！但网站现在开源的这么多，所以漏洞也相对较多，一不小心网站被上传木马也是常有的事情。

收集和整理了一下利用find命令来查找一下是否网站被种木马了，无非是根据木马的特征代码来配对。

find ./ -name "*.php" |xargs egrep "phpspy|c99sh|milw0rm|eval\(gunerpress|eval\(base64_decode|spider_bc"> /tmp/php.txt

grep -r –include=*.php  '[^a-z]eval($_POST' . > /tmp/eval.txt

grep -r –include=*.php  'file_put_contents(.*$_POST\[.*\]);' . > /tmp/file_put_contents.txt

find ./ -name "*.php" -type f -print0 | xargs -0 egrep "(phpspy|c99sh|milw0rm|eval\(gzuncompress\(base64_decode|eval\(base64_decode|spider_bc|gzinflate)" | awk -F: '{print $1}' | sort | uniq

查找最近一天被修改的PHP文件

find -mtime -1 -type f -name \*.php
修改网站php文件权限，只读

find -type f -name \*.php -exec chmod 444 {} \;
修改网站目录权限

find ./ -type d -exec chmod 555{} \;