服务器被挂马怎么办

# 1. 建立取证目录并保留现场（不要直接删任何文件）
INC=/root/incident-$(date +%F)
mkdir -p $INC
tar czf $INC/www.tar.gz /var/www/html 2>/dev/null
cp -a /var/log/nginx $INC/nginx-log
cp -a /etc/php/8.3/fpm $INC/php-fpm-conf

# 2. 记录当前所有可疑进程与监听端口（供后续对比）
ps auxf > $INC/ps.txt
ss -lntp > $INC/ss.txt

# /etc/nginx/sites-available/example.com（Nginx 1.26）
# 方式 A：全站维护页，最快止损
server {
    listen 80;
    server_name example.com;
    root /usr/share/nginx/html;
    index maintenance.html;
    location / { try_files /maintenance.html =503; }
}

# 方式 B：业务不能停时，精确封掉已确认的后门文件
location = /wp-content/uploads/2026/06/x.php { deny all; }

# 找最近 3 天内被修改过的 php 文件，按时间排序
find /var/www -type f -name "*.php" -mtime -3 \
  -printf '%TY-%Tm-%Td %TH:%TM  %s  %p\n' | sort

# 精确到分钟：找入侵当天（例如 2026-06-18）变动的所有文件
find /var/www -type f -newermt "2026-06-18 00:00" ! -newermt "2026-06-19 00:00" \
  -printf '%TH:%TM  %p\n' | sort

# 找体积异常小的 php 文件（一句话木马常小于 200 字节）
find /var/www -type f -name "*.php" -size -200c -printf '%s  %p\n'

# 推荐写法：正则一次覆盖常见后门函数
grep -rnE "(eval|assert|system|passthru|shell_exec|proc_open|popen|base64_decode|gzinflate|str_rot13|create_function|preg_replace\s*\(\s*['\"].*['\"]\s*/\s*[es]*\s*\))[[:space:]]*\(" \
  /var/www --include="*.php" | head -60

# 兼容老系统的简化写法
grep -r "eval(\|base64_decode\|assert(\|system(\|passthru" /var/www

# 只看文件名，先看规模再逐个打开
grep -rlE "eval\(|base64_decode\(|assert\(" /var/www --include="*.php" | head -30

# A. 站点在 git 管理下（最省事）
cd /var/www/html
git status --porcelain | head -50      # Untracked 的 .php 高度可疑
git diff --stat | head -20             # 被修改的文件逐个看

# B. 无版本控制：下载官方干净包逐文件 diff
wget -q https://wordpress.org/wordpress-6.7.2.zip -O /tmp/wp.zip
unzip -q /tmp/wp.zip -d /tmp/clean
diff -rq /tmp/clean/wordpress /var/www/html \
  | grep -v "wp-content/uploads" | head -40

apt update && apt install -y clamav clamav-daemon   # Ubuntu 24.04 LTS
freshclam                                            # 更新病毒库，首次较慢
clamscan -r --infected --log=/root/clamav-$(date +%F).log /var/www
# 确认后再决定是否 --remove，误删正常文件的代价很高

grep -rl "/dev/null
# PHP 侧也应校验真实 MIME，而不是只看后缀

# 1. 确认后先隔离，不直接 rm（方便后续复盘）
mkdir -p /root/quarantine
mv /var/www/html/wp-content/uploads/x.php /root/quarantine/

# 2. 查计划任务（重点看 Web 用户 www-data 的任务）
crontab -l -u www-data 2>/dev/null; crontab -l -u root
ls -la /etc/cron.d/ /var/spool/cron/crontabs/ /etc/cron.hourly/

# 3. 查 systemd 服务与开机启动项
systemctl list-unit-files --state=enabled | grep -viE "systemd|dbus|ssh|cron|nginx|php|ufw|getty"
ls -la /etc/systemd/system/ | grep -viE "multi-user|default|@\."

# 4. 查 SSH 公钥是否被写入
cat /root/.ssh/authorized_keys /home/*/.ssh/authorized_keys 2>/dev/null

# 5. 查 Web 用户是否被赋予了可登录 shell
grep -E "www-data|nginx|apache" /etc/passwd
# 正常应为 /usr/sbin/nologin 或 /bin/false

; /etc/php/8.3/fpm/php.ini （Ubuntu 24.04 LTS + PHP 8.3）
disable_functions = exec,passthru,shell_exec,system,proc_open,popen,
    pcntl_exec,putenv,dl,show_source,parse_ini_file,curl_multi_exec

php-fpm8.3 -t && systemctl restart php8.3-fpm
php -i | grep -i disable_functions    # 验证是否生效

# /etc/nginx/sites-available/example.com（Nginx 1.26）
# 上传目录：只允许静态文件，任何 php 直接拒绝
location ^~ /wp-content/uploads/ {
    location ~* \.(php|php5|phtml|phar|pht)$ { deny all; }
    expires 30d;
    log_not_found off;
}

# 站点正常 PHP 解析
location ~ \.php$ {
    include snippets/fastcgi-php.conf;
    fastcgi_pass unix:/run/php/php8.3-fpm.sock;
}

; /etc/php/8.3/fpm/pool.d/www.conf
security.limit_extensions = .php
php_admin_value[open_basedir] = /var/www/html:/tmp
user  = www-data
group = www-data
listen.owner = www-data
listen.mode  = 0660

# 目录 755，文件 644
find /var/www/html -type d -exec chmod 755 {} \;
find /var/www/html -type f -exec chmod 644 {} \;

# 属主 root、属组 www-data：Web 进程只读，无法改写源码
chown -R root:www-data /var/www/html

# 只有必须写入的目录才给组写权限
chown -R www-data:www-data /var/www/html/wp-content/uploads
find /var/www/html/wp-content/uploads -type d -exec chmod 755 {} \;

# 排查世界可写文件
find /var/www -type f -perm -o+w -printf '%M %p\n'

# 找出被 POST 最多的路径（后门调用通常高频且路径罕见）
awk '$6 ~ /POST/ {print $7}' /var/log/nginx/access.log \
  | sort | uniq -c | sort -rn | head -20

# 查某个后门文件第一次被访问的时间，即入侵起始点
grep -n "x.php" /var/log/nginx/access.log | head -3

# 查同一时段还有哪些文件被创建（与第一次访问时间交叉比对）
find /var/www -type f -newermt "2026-06-18 14:00" ! -newermt "2026-06-18 15:00"