最近discuz论坛出现很多用户无法登陆，账号被删除等现象，查看数据库发现很多用户账号被恶意删除了，检查发现是通过执行discuz内部批量删除函数删除的，就是不知道他怎么执行这个函数的。一开始以为是通过webshell执行的，所以在这里记录一下服务器查找webshell的方法及过程。
1.discuz后台有一个文件校对的功能文件校验是针对 Discuz! 官方发布的文件为基础进行核对，能列出哪些文件什么时候被修改过，或哪些文件是新增的。
2。查找webshell的技巧
当怀疑服务器存在webshell时，可通过文件校验和时间戳查找策略来定位。使用`find`命令寻找10天内修改的PHP文件，并通过`grep`匹配常见恶意函数如`eval`、`shell_exec`等，结合文件内容判断是否为webshell。
最低0.47元/天 解锁文章
扫一扫
174
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
