Ubuntu 环境下识别可疑可执行文件与 Web 脚本的实用流程
一、快速判定流程
- 文件类型与基本信息
- 使用 file 判断是否为可执行/脚本/链接：file /path/to/file
- 查看哈希便于后续比对与上报：md5sum /path/to/file
- 静态内容线索
- 提取可打印字符串：strings /path/to/file | less
- 关注可疑关键字：base64、eval、exec、system、wget、curl、chmod +x、/tmp、/dev/shm、crontab、ssh
- 动态行为确认（隔离环境）
- 使用沙箱隔离运行并观察行为：firejail your_binary 或使用 Firetools 提供的 GUI 沙箱
- 观察是否产生可疑网络连接、创建可疑文件、修改定时任务或持久化脚本
- 在线情报比对
- 将文件或哈希提交至多引擎平台（如 VirusTotal）进行交叉验证，提高识别准确度
二、主机侧恶意软件与后门排查
- 可疑进程与网络连接
- 动态查看进程与 CPU/内存占用：top
- 列出网络连接与对应进程：netstat -anpt
- 通过进程 PID 定位可执行文件路径：ls -lh /proc//exe
- 持久化与定时任务
- 检查系统级与用户级定时任务：/etc/crontab、/etc/cron.、/var/spool/cron/crontabs/
- 检查系统启动项与初始化脚本：/etc/init.d/ 等
- 文件属性与隐藏文件
- 查看不可变等属性：lsattr /path/to/file
- 必要时移除不可变属性并删除：chattr -i /path/to/file && rm -f /path/to/file
- 日志与取证线索
- 检索历史命令与下载痕迹：history | grep -E ‘wget|curl’
- 查看系统日志：cat /var/log/syslog | grep -E ‘wget|curl|bash’（按实际日志路径调整）
三、Rootkit 与网站目录专项检测
- Rootkit 检测
- 安装与更新签名：sudo apt install rkhunter -y && sudo rkhunter --update
- 执行扫描：sudo rkhunter -c（可配合 --cronjob 做例行检查）
- 另一款工具：sudo apt install chkrootkit -y && sudo chkrootkit
- 注意可能的误报（如某些 chkrootkit 对 OpenSSH 的提示），需结合其他证据复核
- 网站目录恶意脚本扫描
- 面向网站场景可使用 ISPProtect（商业工具，支持试用），对 /var/www 等目录进行恶意 PHP/Webshell 检测
- 适合托管环境或存在 Web 应用的服务器，便于发现 WebShell、后门脚本
四、自动化与基线防护
- 安装与更新杀毒引擎
- 安装 ClamAV：sudo apt install clamav
- 更新病毒库：sudo freshclam
- 按需/递归扫描：clamscan --recursive /path 或 clamscan -r /
- 网站恶意文件监控
- 部署 Linux Malware Detect（LMD/maldet），可配置监控路径（如 /usr/local/maldetect/monitor_paths），发现可疑文件后自动隔离并记录日志（如 /usr/local/maldetect/logs/event_log）
- 例行化与验证
- 将 rkhunter、clamscan/maldet 加入 cron 例行检查，形成持续监测
- 使用 EICAR 测试文件验证扫描链路有效性：wget https://secure.eicar.org/eicar.com（测试后及时删除）
五、处置与加固建议
- 处置顺序
- 隔离：立即断网或限制外联，防止扩散
- 终止：kill -9 （必要时先确认可执行文件路径与来源）
- 清理：chattr -i 移除不可变属性后删除；清理可疑定时任务与启动项
- 取证：保留样本与日志，计算并记录 MD5/SHA1，必要时提交 VirusTotal 或多引擎平台
- 加固要点
- 最小权限与最小容器化运行可疑程序（如 Firejail 沙箱）
- 严格管控定时任务、SSH 密钥与 sudo 权限，及时修补系统与应用漏洞
- 对面向公网的 Web 目录设置只读与隔离部署，定期审计与备份
- 风险提示
- 生产环境操作前先在测试环境验证；对关键业务系统建议先做快照/备份，再执行清理与加固操作