rootkit检测、病毒查杀、webshell检测

一、chkrootkit
1、下载rootkit
wget ftp://ftp.pangeia.com.br/pub/seg/pac/chkrootkit.tar.gz
2、安装
tar xf chkrootkit.tar.gz
3、使用
cd chkrootkit-0.52/
./chkrootkit |grep INFECTED 没有出现INFECTED说明系统没有问题

二、rkhunter
1、下载rkhunter
wget http://jaist.dl.sourceforge.net/project/rkhunter/rkhunter/1.4.2/rkhunter-1.4.2.tar.gz 最新版本去官网下载
2、安装
./installer.sh --install
3、使用
rkhunter --update 扫描之前最好更新病毒库
rkhunter -c --sh

yum install rkhunter -y
安装后就可以使用rkhunter命令了，下面列出有用的参数：
–checkall (-c) #全系统检测，rkhunter的所有检测项目;
–createlogfile #建立登录档，一般预设放在/var/log/rkhunter.log;
–skip-keypress #忽略按键后继续的举动(程序会持续自动执行);
–versioncheck #检测试否有新的版本在服务器上;
接下来运行rkhunter --checkall，连续敲击回车，数分钟后得到报表，如图：
rkhunter --checkall

我们从分析报告可以看出，Rkhunter怀疑被篡改的文件有9个，怀疑rootkits有3个，具体再去/var/log/rkhunter/rkhunter.log中查看。
如果您不想要每个部分都以 Enter 来继续，想要让程序自动持续执行，可以使用：
rkhunter --check --sk

Rkhunter拥有并维护着一个包含rootkit特征的数据库，然后它根据此数据库来检测系统中的rootkits，所以可以对此数据库进行升级，rkhunter –update
rkhunter --update
那么简单来讲，RKhunter就像我们的杀毒软件，有着自己的病毒数据库，对每一个重点命令进行比对，当发现了可疑代码则会提示用户。

三、Clamav 病毒查杀
1、zlib依赖包安装
wget http://nchc.dl.sourceforge.net/project/libpng/zlib/1.2.7/zlib-1.2.7.tar.gz
tar zxvf zlib-1.2.7.tar.gz
cd zlib-1.2.7
CFLAGS="-O3 -fPIC" ./configure --prefix=
/usr/local/zlib/
make && make make install
groupadd clamav
useradd -g clamav -s /bin/false
3、clamav安装
ClamAV的官方下载地址为http://www.clamav.net/download.html
mkdir /opt/clamav/logs
mkdir /opt/clamav/updata
chown clamav.clamav clamd.log
chown clamav.clamav freshclam.log
vim /opt/clamav
vim /opt/clamav/etc/clam.conf 注释第八行

/opt/clamac/bin/freshclam 更新病毒库

yum安装

yum install -y clamav
freshclam 更新病毒库
clamscan -r / --bell -i 扫描所有文件并显示有问题文件的结果
clamscan -r / 扫面素有文件并显示所有文件的扫面结果
clamsacn -r --remove / 扫面并清除
clamscan [选项] [路径] [文件]
–quiet 使用安静模式，仅仅打印出错误信息
-i 仅仅打印被感染的文件
-d<文件> 以指定的文件作为病毒库，一代替默认的/var/clamav目录下的病毒库文件
-l <文件> 指定日志文件，以代替默认的/var/log/clamav/freshclam.log文件
-r 递归扫描，即扫描指定目录下的子目录
–move=<目录> 把感染病毒的文件移动到指定目录
–remove 删除感染病毒的文件
扫描方法

clamscan -r /etc --max-dir-recursion=5 -l /root/etcclamav.log
clamscan -r /bin --max-dir-recursion=5 -l /root/binclamav.log
clamscan -r /usr --max-dir-recursion=5 -l /root/usrclamav.log
clamscan -r --remove /bin/
clamscan -r --remove /usr/bin/

查看日志发现
grep FOUND /root/etcclamav.log
有FOUND为病毒

四、河马webshell
1、下载
官网：http://www.shellpub.com
2、安装
wget -O hm-linux.tgz http://down.shellpub.com/hm/latest/hm-linux-amd64.tgz?version=1.5.0
tar xvf hm0linux.tgz
./hm update
./hm scan / 扫描根目录 一般只扫面web目录
cat result.csv 扫面结果