您现在的位置是：首页 > 文章详情

linux系统网站木马后门Webshell查杀工具源码

日期：2018-06-10点击：800收藏

后门这东西好让人头疼，第一文件太多了，不容易找，第二，难找，需要特征匹配啊。搞了一个python版查杀php webshell后门工具，大家可以增加后门的特征码，然后甩到后台给他查杀就可以了。适合Linux系统服务器的站长们

这个代码比较简单，大家可以自己继续完善下。主要是根据特征来匹配查找网站木马后门文件。

#!/usr/bin/python 
  
# -*- coding: utf-8 -*- 
  
#blog:www.sinesafe.com 
  

 
import os 
  
import sys 
  
import re 
  

 
rulelist = [ 
  
    '(\$_(GET|POST|REQUEST)\[.{0,15}\]\(\$_(GET|POST|REQUEST)\[.{0,15}\]\))', 
  
    '(base64_decode\([\'"][\w\+/=]{200,}[\'"]\))', 
  
    'eval\(base64_decode\(', 
  
    '(eval\(\$_(POST|GET|REQUEST)\[.{0,15}\]\))', 
  
    '(assert\(\$_(POST|GET|REQUEST)\[.{0,15}\]\))', 
  
    '(\$[\w_]{0,15}\(\$_(POST|GET|REQUEST)\[.{0,15}\]\))', 
  
    '(wscript\.shell)', 
  
    '(gethostbyname\()', 
  
    '(cmd\.exe)', 
  
    '(shell\.application)', 
  
    '(documents\s+and\s+settings)', 
  
    '(system32)', 
  
    '(serv-u)', 
  
    '(提权)', 
  
    '(phpspy)', 
  
    '(后门)', 
  
    '(webshell)', 
  
    '(Program\s+Files)' 
  
] 
  

 
def Scan(path): 
  
    for root,dirs,files in os.walk(path): 
  
        for filespath in files: 
  
            isover = False 
  
            if '.' in filespath: 
  
                ext = filespath[(filespath.rindex('.')+1):] 
  
                if ext=='php': 
  
                    file= open(os.path.join(root,filespath)) 
  
                    filestr = file.read() 
  
                    file.close() 
  
                    for rule in rulelist: 
  
                        result = re.compile(rule).findall(filestr) 
  
                        if result: 
  
                            print '文件：'+os.path.join(root,filespath) 
  
                            print '恶意代码：'+str(result[0]) 
  
                            print '\n\n' 
  
                            break 
  

 
if os.path.lexists(sys.argv[1]): 
  
    print('\n\n开始扫描：'+sys.argv[1]) 
  
    print('               可疑文件                 ') 
  
    print('########################################') 
  
    Scan(sys.argv[1]) 
  
    print('提示：扫描完成-- O(∩_∩)O哈哈~') 
  
else: 
  
    print '提示：指定的扫描目录不存在---  我靠( \'o′)！！凸'