# 下载WebShellKiller

wget http://edr.sangfor.com.cn/tool/WebShellKillerForLinux.tar.gz

# 解压到当前目录

tar -zxf WebShellKillerForLinux.tar.gz

# 查看解压结果，可以看到多出centos_32、centos_64、linux_64三个文件夹

# 如果是centos /redhat 32那就使用centos_32，如果是centos /redhat 64那就使用centos_64，如果是其他linux 64那就使用linux_64

ls

# 查看当前操作系统

cat /etc/system-release

# 查看当前操作系统是32位还是64位；x86是32位，x86_64或x64是64位；一般都是64位

uname -m

# 我这里是centos 64所以进入centos_64

cd centos_64/wscan_app/

# 查看当前目录文件，wscan是主程序

ls

# wscan默认没有可执行权限，需要加上

chmod u+x wscan

# wscan从LD_LIBRARY_PATH加载so文件，需要将当前路径加到LD_LIBRARY_PATH以使wscan能找到当前目录下的so

export LD_LIBRARY_PATH=`pwd`:$LD_LIBRARY_PATH

# 执行扫描，../../webshell/jsp是我这里要扫描的路径，改成自己要扫描的即可

# 被列出的文件即是被认为可疑的文件，人工识别是否为web应用自己所用文件即可

./wscan -hrf ../../webshell/jsp

# 配置软件仓库，centos仓库没有clamav

yum install -y epel-release

# 安装clamav依赖，其实如果是yum会自动安装依赖，写出来只是强调一下

yum install gcc openssl zlib -y

# 安装clamav

yum install -y clamav

# 卸载clamav

yum remove clamav*

# 这两个命令有时不好使，不行就换着用

# 使用yumdownloader下载clamav及其数据库clamav-db

# yumdownloader可以是非root用户执行

yumdownloader clamav clamav-db

# 使用yum下载clamav及其数据库clamav-db

# yum 必须是root用户才能执行

yum install --downloadonly --downloaddir=. clamav clamav-db -y

# 上传后进入上传到的目录下，使用root执行安装

rpm -Uvh clamav-db*.rpm

rpm -Uvh clamav*.rpm

# 卸载

clamav rpm -e clamav clamav-db

# 编译，--prefix=指定安装位置必须是绝对路径形式，我这里是/usr/myapp/clamav，改成自己的

# --disable-clamav检测是否创建了clamav，直接禁用掉

./configure --prefix=/usr/myapp/clamav --disable-clamav

# 当没有error时使用make进行编译，需要几分钟

# 如果是要重新编译，make前先用make clean清空之前编译出来的文件

make

# 完成后使用make install进行安装

make install

# 卸载，文件夹不会删除但其下文件已全删除

make uninstall

# 创建存放日志和病毒库的文件夹

mkdir /usr/myapp/clamav/logs

mkdir /usr/myapp/clamav/db

# clamav日志文件不存在时不会自动创建只会报错退出所以先把稍后要用的日志文件创建出来

touch /usr/myapp/clamav/logs/clamd.log

touch /usr/myapp/clamav/logs/freshclam.log

# 如是root用户运行那么clamav会强制切换到clamav用户运行

# 也就是说如果是root用户那么clamav用户必须存在

# 如果本来就是以普通用户运行，因为编译时使用了--disable-clamav所以可以不用创建

# shell设置为/bin/false用户不能用于登录所以不会降低系统安全性

# groupadd clamav

# useradd -g clamav -s /bin/false -c "Clam AntiVirus" clamav

# 如果以root运行，由于系统切换到clamav用户，所以需要将日志赋给clamav用户其才能写日志

# chown clamav:clamav /usr/myapp/clamav/logs/clamd.log

# chown clamav:clamav /usr/myapp/clamav/logs/freshclam.log

# 启用配置文件

cd etc

cp clamd.conf.sample clamd.conf

cp freshclam.conf.sample freshclam.conf

# Example

LogFile /usr/myapp/clamav/logs/clamd.log

PidFile /usr/myapp/clamav/logs/clamd.pid

DatabaseDirectory /usr/myapp/clamav/db

# Example

DatabaseDirectory /usr/myapp/clamav/db

UpdateLogFile /usr/myapp/clamav/logs/freshclam.log

PidFile /usr/myapp/clamav/logs/freshclam.pid

cd ../bin

./freshclam

# 进行查杀，-r表示遍历子文件夹，-l表示将发现的可疑文件记录到文件中

./clamscan -r -l scan.log ../../webshell/jsp

# 查看扫描结果

cat scan.log

# 配置epel仓库

yum install epel-release

# 安装

yum install rkhunter -y

# 卸载

yum erase rkhunter -y

# 创建安装目录

mkdir rkhunter

# 下载，替换成此时最新文件链接

wget https://nchc.dl.sourceforge.net/project/rkhunter/rkhunter/1.4.6/rkhunter-1.4.6.tar.gz

# 解压到当前文件夹

tar -zxf rkhunter-1.4..tar.gz

# 建入解压出的文件夹

cd rkhunter-1.4.

# 使用installer.sh文件进行安装，--layout custom用于自定义安装路径

./installer.sh --layout custom /usr/myapp/rkhunter --install

# 卸载

./installer.sh --layout custom /usr/myapp/rkhunter --remove

# 进入可执行文件所在目录

cd ../rkhunter/bin/

# 执行查杀，前面的命行都可用非root用户执行但查杀必须使用root才行

# 查杀会分几部分进行，以下命令完成一部分后需要回车才进行下一部分

./rkhunter -c

# 可以使用--skip-keypress参数跳过回车

./rkhunter -c --skip-keypress