在使用香港高防服务器时，如果服务器被植入了 Web Shell 后门，攻击者可能会通过后门完全控制服务器，窃取数据或进一步发起攻击。Web Shell 是一种常见的远程控制工具，通常是通过上传恶意文件、利用漏洞或弱密码等方式植入的。

1. Web Shell 后门的常见表现

在排查 Web Shell 前，可以通过以下现象判断服务器是否可能已经被植入后门：

1. 异常文件：

   • 网站目录中出现不熟悉的文件，例如 .php、.asp、.jsp 文件，文件名通常具有迷惑性（如 config.php、index.php、upload.php）。
   • 文件名可能随机生成（如 zxc123.php、admin888.php）。

2. 流量异常：

   • 服务器流量突然升高，可能是攻击者通过后门传输文件或发起攻击。

3. 异常的访问日志：

   • 网站日志中出现异常请求，例如访问 URL 包含可疑参数（如 cmd=ls、eval(base64_decode(...))）。
   • 日志中有大量来自单一 IP 或特定 URL 的访问。

4. 高防服务器性能下降：

   • CPU、内存使用率突然升高，可能是 Web Shell 在服务器上运行恶意命令。

5. 未知用户或权限提升：

   • 服务器上出现不明用户或权限被提升（如 root）。

2. 如何发现 Web Shell 后门

2.1 检查网站目录中的可疑文件

1. 查找新增或修改的文件：

   • 查找最近 7 天内新增或修改的文件：
     bash

      

     find /var/www/ -type f -mtime -7
     

   • 此命令会列出 /var/www/ 网站目录下最近 7 天内修改的文件。

2. 查找隐藏文件：

   • Web Shell 有时会使用隐藏文件名：
     bash

      

     find /var/www/ -name ".*"
     

3. 按文件大小查找异常文件：

   • 查找体积较小（通常几 KB）的 PHP 文件：
     bash

      

     find /var/www/ -type f -name "*.php" -size -50k
     

4. 查找文件中包含敏感函数：

   • Web Shell 通常包含恶意代码，使用了一些敏感函数，例如 eval、system、exec、shell_exec、base64_decode 等：
     bash

      

     grep -rE "eval|system|exec|shell_exec|base64_decode" /var/www/
     

2.2 分析访问日志

Web Shell 的访问通常会留下明显的日志痕迹。

1. 查看访问日志：

   • 以 Nginx 为例：
     bash

      

     tail -n 100 /var/log/nginx/access.log
     

   • 以 Apache 为例：
     bash

      

     tail -n 100 /var/log/httpd/access_log
     

2. 过滤可疑请求：

   • 查找请求中包含敏感参数（如 cmd、shell 等）的日志：
     bash

      

     grep -E "cmd|shell|exec|eval" /var/log/nginx/access.log
     

3. 查找访问频率异常的 IP：

   • 统计访问频率最高的 IP：
     bash

      

     awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -nr | head
     

   • 如果某个 IP 频繁访问某些文件或路径，可能是攻击者。

4. 检查 POST 请求：

   • Web Shell 通常通过 POST 请求传递命令：
     bash

      

     grep "POST" /var/log/nginx/access.log
     

2.3 使用安全工具扫描

1. 使用 ClamAV 扫描恶意文件：

   • 安装 ClamAV：
     bash

      

     sudo apt install clamav
     

   • 更新病毒库：
     bash

      

     sudo freshclam
     

   • 扫描网站目录：
     bash

      

     sudo clamscan -r /var/www/
     

   • 如果发现可疑文件，ClamAV 会标记出来。

2. 使用 Maldet（Linux Malware Detect）：

   • 安装 Maldet：
     bash

      

     sudo apt install maldet
     

   • 扫描网站目录：
     bash

      

     sudo maldet -a /var/www/
     

3. 使用专业安全平台：

   • 使用 Sucuri、SiteLock 等第三方安全平台扫描和清理网站。

2.4 检查定时任务

攻击者可能会在服务器中设置定时任务重新激活 Web Shell。

1. 列出当前用户的 Crontab：

   bash

    

   crontab -l
   

2. 检查系统级 Crontab：

   bash

    

   cat /etc/crontab
   ls /etc/cron.d/
   

3. 检查定时任务目录：

   bash

    

   ls /var/spool/cron/
   

如果发现可疑的定时任务（如执行未知脚本），应立即删除。

3. 如何清除 Web Shell 后门

3.1 删除可疑文件

1. 手动删除：

   • 根据扫描或日志找到的可疑 Web Shell 文件，可以手动删除：
     bash

      

     rm -f /var/www/html/suspicious.php
     

2. 隔离文件：

   • 如果不确定文件是否为恶意文件，可以先隔离：
     bash

      

     mv /var/www/html/suspicious.php /root/quarantine/
     

3.2 修复文件权限

1. 检查并修复文件权限：

   • 确保网站文件的权限最小化：
     bash

      

     sudo chmod -R 644 /var/www/html
     sudo chmod -R 755 /var/www/html
     

   • 确保文件的所有者正确：
     bash

      

     sudo chown -R www-data:www-data /var/www/html
     

2. 禁用脚本上传目录的执行权限：

   • 如果某些目录仅用于文件存储（如图片），可以禁用 PHP 执行权限：
     bash

      

     sudo chmod -R 750 /var/www/html/uploads
     

3.3 检查用户和服务

1. 检查新增用户：

   • 列出当前系统用户：
     bash

      

     cat /etc/passwd
     

   • 删除不熟悉的用户：
     bash

      

     sudo userdel suspicious_user
     

2. 重启服务：

   • 在清理完成后，重启 Web 服务：
     bash

      

     sudo systemctl restart nginx
     sudo systemctl restart php-fpm
     

3.4 清理定时任务

删除与 Web Shell 相关的定时任务：

crontab -r

或手动删除 /etc/cron.d/ 中的可疑文件。

4. 防止 Web Shell 后门再次出现

4.1 安全加固

1. 禁用文件上传：

   • 如果网站不需要文件上传功能，直接禁用上传。

2. 限制上传的文件类型：

   • 仅允许上传图片等安全文件：
     php

      

     $allowed_types = ['image/jpeg', 'image/png'];
     if (!in_array($_FILES['file']['type'], $allowed_types)) {
         die("Invalid file type!");
     }
     

3. 对上传目录禁用脚本执行：

   • 在 Nginx 配置中禁止执行 PHP 文件：
     nginx

      

     location /uploads/ {
         location ~ \.php$ {
             return 403;
         }
     }
     

4.2 使用 WAF 防护

部署 Web 应用防火墙（WAF），如：

• Cloudflare：拦截恶意流量。
• ModSecurity：检测并阻止常见的 Web Shell 攻击。

4.3 定期扫描与监控

1. 定期扫描文件系统：

   • 使用 ClamAV 或 Maldet 定期扫描网站目录。

2. 监控日志：

   • 自动化日志分析工具（如 ELK Stack）检测异常行为。

3. 自动报警：

   • 使用监控工具（如 Zabbix、Prometheus）配置内存、流量、CPU 的警报。

5. 总结

清除 Web Shell 后门需要从 发现问题、清除后门 到 防止复发 多方面入手：

1. 发现 Web Shell：通过文件扫描、日志分析、自动工具识别后门文件。
2. 清除后门：删除恶意文件、修复权限、清理定时任务。
3. 加强防护：部署 WAF、防止文件上传、定期扫描及更新。

通过以上方法，可以有效清除 Web Shell 后门并确保香港高防服务器的安全性和稳定性。