ClamAV查杀linux病毒实战

完整记录一次linux下clamav软件安装、病毒查杀及解决过程

---

ClamAV介绍

ClamAV 杀毒是Linux平台最受欢迎的杀毒软件，ClamAV属于免费开源产品，支持多种平台，如：Linux/Unix、MAC OS X、Windows、OpenVMS。ClamAV是基于病毒扫描的命令行工具，但同时也有支持图形界面的ClamTK工具。ClamAV主要用于邮件服务器扫描邮件。它有多种接口从邮件服务器扫描邮件，支持文件格式有如：ZIP、RAR、TAR、GZIP、BZIP2、HTML、DOC、PDF,、SIS CHM、RTF等等。ClamAV有自动的数据库更新器，还可以从共享库中运行。命令行的界面让ClamAV运行流畅。

下载地址：https://www.clamav.net/downloads

安装部署

• 创建用户和组
• 创建目录并设定权限
• 拷贝和更新设定文件
• 更新病毒库
• 扫描病毒

1.编译安装clamav:

tar xf clamav-0.100.0.tar.gz
cd clamav-0.100.0
./configure --prefix=/usr/local/clamav
make && make install

2.添加用户组clamav和组成员clamav：

groupadd clamav
useradd -g clamav -s /bin/false -c "Clam AntiVirus" clamav

3.创建目录并设定权限:

cd /usr/local/clamav
mkdir -p logs database worktmp
chown clamav:clamav database

# logs存放日志信息
# database存放更新病毒库信息
# worktmp存放pid等临时文件或状态文件信息

4.拷贝生成设定文件

cd /usr/local/clamav/etc
cp clamd.conf.sample clamd.conf
cp freshclam.conf.sample freshclam.conf

5.修改配置文件

# diff clamd.conf  clamd.conf.sample
14c14
< LogFile /usr/local/clamav/logs/clamd.log
---
> #LogFile /tmp/clamd.log
66c66
< PidFile /var/clamav/worktmp/clamd.pid
---
> #PidFile /var/run/clamd.pid
74c74
< DatabaseDirectory /var/lib/clamav/database
---
> #DatabaseDirectory /var/lib/clamav

# diff freshclam.conf freshclam.conf.sample 
8c8
< #Example
---
> Example
13c13
< DatabaseDirectory /usr/local/clamav/database/
---
> #DatabaseDirectory /var/lib/clamav
17c17
< UpdateLogFile /usr/local/clamav/logs/freshclam.log
---
> #UpdateLogFile /var/log/freshclam.log
51c51
< PidFile /usr/local/clamav/worktmp/freshclam.pid
---
> #PidFile /var/run/freshclam.pid

更新病毒库

#创建日志文件
touch /usr/local/clamav/logs/freshclam.log
chown -R clamav.clamav /usr/local/clamav/logs/*

#更新病毒库
/usr/local/clamav/bin/freshclam

存放目录：/usr/local/clamav/database

病毒库第一次更新会比较慢，需要定时更新，可以写成定时任务

扫描病毒

clamscan -r /     # 不仅会显示找到的病毒，正常的扫描文件也会显示出来
clamscan --no-summary -ri /   # 只显示找到的病毒信息
    -r 递归扫描子目录
    -i 只显示发现的病毒文件
    --no-summary 不显示统计信息

针对重要目录一一排查是否感染病毒：

/usr/local/clamav/bin/clamscan -ri /data/
....   # 省略一些警告信息
/data/***/store/package.html: Legacy.Trojan.Agent-1388596 FOUND
/data/***/util/package.html: Legacy.Trojan.Agent-1388596 FOUND
/data/***/index/package.html: Legacy.Trojan.Agent-1388596 FOUND
/data/***/queryParser/package.html: Legacy.Trojan.Agent-1388596 FOUND
/data/***/search/payloads/package.html: Legacy.Trojan.Agent-1388596 FOUND
/data/***/search/function/package.html: Legacy.Trojan.Agent-1388596 FOUND
/data/***/document/package.html: Legacy.Trojan.Agent-1388596 FOUND
/data/***/analysis/standard/package.html: Legacy.Trojan.Agent-1388596 FOUND
.....
----------- SCAN SUMMARY -----------
Known viruses: 6472191
Engine version: 0.100.0
Scanned directories: 170
Scanned files: 2247
Infected files: 8
Data scanned: 2662.96 MB
Data read: 6934.71 MB (ratio 0.38:1)
Time: 225.648 sec (3 m 45 s)

可以看到/data目录下有8个感染文件，对比正常的文件发现了问题的根源：

解决办法

首先先find查找到被感染的文件，确认无误后是由sed命令将vbscript标签段删除掉，附上完整命令：

find / -type f -name "*.html" |xargs sed -i '/VBScript><!--/,/\/\/--><\/SCRIPT>/d'