最近被木馬搞瘋了，不過還好有阿里雲提醒，不過阿里雲也可能有遺漏的地方，但是木馬這東西如果以前就沒注意，想找到源頭還是有點困難的。所以，是時候來次大清洗了。
查詢PHP木馬

# find ./ -name “*.php” |xargs egrep “phpspy|c99sh|milw0rm|eval(gunerpress|eval(base64_decoolcode|spider_bc))” > /tmp/php.txt
//最常見的一句話木馬eval($_POST[這裡一般沒有固定值])；，寫入然後將結果寫入eval.txt檔案裡再進行大掃除
# grep -r --include=*.php  '[^a-z]eval($_POST'
 
 . > eval.txt
# grep -r --include=*.php  'file_put_contents(.*$_POST\[.*\]);' . > grep.txt
# find ./ -name “*.php” -type f -print0 | xargs -0 egrep “(phpspy|c99sh|milw0rm|eval(gzuncompress(base64_decoolcode|eval(base64_decoolcode|spider_bc|gzinflate)” | awk -F: ‘{print $1}’ | sort | uniq

查詢最近一天被修改的PHP檔案

# find -mtime -1 -type f -name *.php

修改網站的許可權

# find -type f -name *.php -exec chmod 444 {} ;
# find ./ -type d -exec chmod 555{} ;