当前位置:

首页 > 软件教程 > 消除已扫描的恶意软件

消除已扫描的恶意软件

一条指令彻底删除扫描出来的有害程序作者:田逸(formyz)一个NFS服务器,为多个Web项目所共享。这些目录包括PHP程序、图片、HTML页面和用户上传的文档和附件等。因为某些Web框架古老,存在诸如不对上传文件做严格的安全性检查,虽然此NFS服务器位于受保护的内部网络,但任然被别有用心的人上传了大量的恶意文件。强烈要求程序员进行程序(Discuz)更新,答复说更新难度太大,无法在程序上进行处理。从系统管理层面上,临时的措施仅仅是安装shadu软件,对这个共享目录进行扫描,然后删除这些有害的文件(治标不

本文目录

    一条指令彻底删除扫描出来的有害程序

    一条指令彻底删除扫描出来的有害程序

    作者:田逸(formyz
    )

    一个NFS
    服务器,为多个Web
    项目
    所共享。这些目录包括PHP
    程序、图片、HTML
    页面和用户上传的文档和附件等。因为某些Web
    框架古老,存在诸如不对上传文件做严格的安全性检查,虽然此NFS
    服务器位于受保护的内部网络,但任然被别有用心的人上传了大量的恶意文件。强烈要求程序员进行程序(Discuz
    )更新,答复说更新难度太大,无法在程序上进行处理。从系统管理层面上,临时的措施仅仅是安装shadu
    软件,对这个共享目录进行扫描,然后删除这些有害的文件(治标不治本)。

     

    共享存储NFS
    部署在Centos 7.9
    上,存储空间44T
    ,使用空间4.5T
    (如下图所示),由于管理相对松懈,有大量的垃圾信息不进行清理和归档。

     

    根据以往的经验和使用习惯,决定在NFS
    服务所在的宿主系统Centos 7.9
    部署开源的、大名鼎鼎的安全软件Clavam
    ,其官方的宣传“
    ClamAV

    ®
     is an open-source antivirus engine for detecting trojans, viruses, malware & other malicious threats
    ”–ClamAV®
    是一款开源防Virtual
    引擎,用于检测特**洛***伊Muma
    、病Du
    、恶意软件和其他恶意威胁。不知从什么时候开始,官网底部的标识换成网络设备生产商CISCO
    ,即便如此,Clamav
    目前还是开源、免费的,可以不受限制使用。在Centos 7.9
    上,至少有3
    种部署安装Clamav
    的方法:RPM
    二进制包、二进制源码和在线包管理工具“yum”
    ,如下图所示。

     

    在Centos 7.9
    下部署安装Clamav
    最容易、最便捷的方式就是“yum install
    ”,试着在系统命令行下执行“yum  install clamav
    ”,执行过程及输出如下。

     

    很遗憾,Clamav
    没有包含在软件仓库中,不能被正确安装到系统。再试着添加一个“epel-release
    ”附加软件仓库,执行的命令是“yum install epel-release
    ”。接着继续执行“yum list clamav
    ”,
    从输出可知,附加的仓库列表已经包含软件包“clamav
    ”,如下图所示。

     

    执行指令“yum install clamav
    ”进行正式安装。除了主软件Clamav
    外,还有另外多个依赖包被一起安装,如下图所示。

     

    与用源码包安装相比,不需要根据安装过程中的错误输出逐一安装所需的依赖,效率大大的提高了。

     

    初次被安装部署的Clamav
    的bingdu
    库比较陈旧滞后,需要在系统命令行下对这个bingdu
    特征库进行更新,降低扫描识别的遗漏。执行bingdu
    库更新的命令是“freshclam
    ”,不带任何参数和选项,执行的过程及输出如下图所示。

     

    Bingdu
    库已经是最新的了,在正式执行扫描之前,为了预防SSH
    远程终端断开而导致扫描中断,强烈建议在“screen
    ”上执行扫描。如果执行命令“screen
    ”提示命令不存在,用“yum install screen
    ”安装之。正确执行命令“screen
    ”后,系统立即返回Shell
    提示符,这时,正式输入如下指令对疑似有问题的共享目录进行完整扫描,并把输出记录到日志文件”/var/log/clamscan.log”
    。

    clamscan -r /data -l /var/log/clamscan.log

     

    经过漫长的等待,我这个扫描耗费了好多天的时间才完成。查看扫描日志文件,是否存在恶意文件,使用的命令如下:

    [root@nas wenku]# grep FOUND  /var/log/clamscan.log

    /data/cu/attachment/forum/201305/29/22155372jcjxtt0vfx2uk2.zip:   Win.Trojan.IRCBot-785 FOUND

    /data/cu/attachment/forum/201501/05/155857clzd9d10bwdpl3s0.zip:   Unix.Trojan.Agent-37008 FOUND

    /data/cu/attachment/forum/201501/10/2110526a6afrfrzvas2h25.zip:   Win.Tool.Chopper-9839749-0 FOUND

    /data/cu/attachment/forum/201501/10/210932qsy27wsnwazswagr.zip:   Win.Tool.Chopper-9839749-0 FOUND

    /data/cu/attachment/forum/201405/18/082512hhjnzummmnuu4i8i.zip:   Unix.Dropper.Mirai-7338045-0 FOUND

    /data/cu/attachment/forum/201205/11/084024426448y1bk6jmmb9.zip:   Win.Trojan.SdBot-13589 FOUND

    /data/cu/attachment/forum/201206/05/092231faffjiak6z3gkzqv.zip:   Win.Malware.Aa93a15d-6745814-0 FOUND

    /data/kong/blog/attach/attachment/201603/9/30229789_1457535724sulu.jpg:   Win.Trojan.Generic-6584387-0 FOUND

    …………….
    省略更多…………………………..

    /data/wenku/App_Data/Documents/2012-03-10/7da3d2c7-6d16-44c2-aab1-e8a317716c15.txt:   Dos.Trojan.Munga-4 FOUND

    /data/wenku/App_Data/Documents/2014-02-17/4ed74e66-54d1-46b5-8a41-4915ced095a5.ppt:   Xls.Trojan.Agent-36856 FOUND

    /data/wenku/App_Data/Documents/2014-02-23/c5c1dfa6-9f04-4e53-b418-4d711ce5408d.ppt:   Win.Exploit.Fnstenv_mov-1 FOUND

    /data/wenku/App_Data/Documents/2014-07-15/ae2dfca5-ddef-4c41-8812-bcc5543415e1.txt:   Legacy.Trojan.Agent-34669 FOUND

     

    一共有500
    多条带关键字“FOUND
    ”的记录,而且分布路径不规律,无法通过删除目录的方式将这些分布离散的恶意文件给处理掉。如果手工一条一条的按绝对路径删除,即低效也容易出错;假使这种形式分布的恶意文件成千上万,用手工逐一删除的方式基本无法完成。

     

    命令“clamscan
    ”本身带选项“–remove
    ”直接删除扫描出来的恶意文件,但这样没有经过相关人员的确认,可能会引起争论。所以需要将这些有问题的恶意文件,呈现给相关人员确认,没有异议以后,才可以移动或者删除。

     

    从Clamav
    扫描出来的日志文件下手,用工具将恶意文件的全路径提取出来,使用的指令如下。

    [root@nas wenku]#grep FOUND  /var/log/clamscan.log |awk -F[:] ‘{print   $1}’

    /data/wenku/App_Data/Documents/2016-04-11/8fe8d01e-e752-4e52-80df-f202374b2b6d.doc

    /data/wenku/App_Data/Documents/2016-04-11/03a14021-279f-45cd-83c5-b63076032c9e.doc

    /data/wenku/App_Data/Documents/2016-04-11/c45ddc01-ec3d-4a54-b674-8c2082d76ce3.doc

    /data/cu/attachment/forum/201305/29/22155372jcjxtt0vfx2uk2.zip

    /data/cu/attachment/forum/201501/05/155857clzd9d10bwdpl3s0.zip

    /data/cu/attachment/forum/201501/10/2110526a6afrfrzvas2h25.zip

    /data/cu/attachment/forum/201501/10/210932qsy27wsnwazswagr.zip

    /data/cu/attachment/forum/201405/18/082512hhjnzummmnuu4i8i.zip

    /data/cu/attachment/forum/201205/11/084024426448y1bk6jmmb9.zip

    /data/cu/attachment/forum/201206/05/092231faffjiak6z3gkzqv.zip

    ………………
    省略若干
    …………………………

     

    与原始日志相比,去掉了冒号“:
    ”以及其后的全部字段。在此指令后,增加管道并配合“xargs
    ”传递参数,就可以将扫描出来的恶意文件全部清理掉,不管它分布到什么路径,完整的命令如下所示。

    grep FOUND    /var/log/clamscan.log |awk -F[:] ‘{print $1}’| xargs rm -rf

     

    执行完毕,随机找几条扫描出来的恶意文件全路径,文件应该不存在(
    如下图所示)
    ,则表明脚本正确,正是我们所期待的结果。

    本站声明:本文内容由网友自发贡献,版权归原作者所有,本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容,请联系bd@zhengruan.com
    作者最新文章
    软件教程 程序
    相关文章 更多
    如何在 macOS 中授予第三方应用程序 Apple Music 访问权限
    如何在 macOS 中授予第三方应用程序 Apple Music 访问权限

    为此,请确保您已在AppleMusicApp中登录Apple帐户,然后从macOSAppleMusicApp的菜单栏中选取“帐户->加入AppleMusic”。当您加入AppleMusic时,您可以免费获得一个月,然后之后每月收费10.99美元。在添加AppleMusic后,请通过“音乐”App的菜单栏中选择“帐户>AppWithAccess”。这将显示一个窗格,列出哪些第三方应用程序可以使用以支持AppleMusic。选择要授予“音乐”访问权限的App。选择要授予访问权限的应用,然后单击完成

    脚本化检测本地主机的故障并修复
    脚本化检测本地主机的故障并修复

    在运行程序或进行故障排除时,如果出现指示脚本诊断本地主机已停止工作的错误消息,这可能是由于多种原因引起的。在Windows11/10PC上修复这个问题可能需要采取不同的方法,因为每台计算机的情况可能不同。一种常见的原因是脚本程序本身存在错误或损坏,导致其无法正常运行。解决这个问题的方法可能包括修复或重装脚本程序,或者尝试使用其他版本的脚本程序。另一种可能的原因是系统文件损坏或缺失,这可能会影响脚本的运行。在这种情况下,您可以尝试运行系统文件检查工具来修复任何受损的文件,或者进行系统恢复以恢复到之前的稳定状

    将程序拖入Windows10沙盒的步骤
    将程序拖入Windows10沙盒的步骤

    想必很多的用户都在使用win10系统,沙盒是系统中新增的一种安全机制,于是就有玩家想要了解一下怎么把程序放进沙盒中呢?那就来文中看看吧。怎么把程序拖进win10沙盒1、请在屏幕左下方单击“开始”按钮,接着选取并打开“应用与功能”选项卡。2、在弹出的新窗口中,请滚动至右侧区域并点击“程序和功能”项目。3、进入到名为“程序和功能”的界面之后,请再次点击“启用或关闭Windows功能”这一选项。4、在接下来显现出的“Windows功能”菜单列表里,定位到名为“Windows沙盒”的选项。5、将其选中后再轻轻地点

    无法上传文件,文件内容不一致
    无法上传文件,文件内容不一致

    Discorde是一个流行的文件共享平台,但用户在上传文件时可能会遇到上传失败、文件不能为空等错误。尽管尚无明确解释,这些错误可能会随机出现,导致无法上传某些文件,甚至影响再次上传之前发送过的文件。修复上载失败,文件不能为空不一致错误上传失败时出现文件不能为空错误会让人感到沮丧。以下是一些建议的解决方法,希望能对您有所帮助。适用于iOS和Android用户验证文件在共享文件之前将其压缩更新/重新安装不一致1]适用于iOS和Android用户在iPhone和Android用户中,对于文件上传失败错误是相当常

    Windows 11/10 Edge 浏览器新增“跨设备传输”功能,方便手机上传文件
    Windows 11/10 Edge 浏览器新增“跨设备传输”功能,方便手机上传文件

    微软在最新的稳定版本中为Windows11/10端的Edge浏览器增添了一个新功能,即“手机上传”。用户现在可以通过Edge浏览器直接从手机上传文件,而且该功能几乎适用于所有网站,没有文件格式的限制。这一功能的引入为用户提供了更加便捷的上传方式,使得在使用Edge浏览器时可以更加高效地管理和分享文件。如何使用“手机上传”功能:打开Edge浏览器,点击任何网站的“上传”选项,然后在文件选择器中选择“从移动设备上传”。使用手机相机扫描二维码。在Edge浏览器点击“确认”配对设备。点击“上传文件”选项。在手机上

    详解Linux中的NFS共享存储服务
    详解Linux中的NFS共享存储服务

    LinuxNFS(NetworkFileSystem)是一种协议和服务,用于在网络上共享文件系统。客户端计算机可以通过网络访问远程服务器上的文件和目录,实现类似本地文件的操作。客户端-服务器模型:LinuxNFS采用客户端-服务器模型。服务器是文件系统的提供者,它负责管理文件和目录,并响应客户端的请求。客户端是使用NFS协议的计算机,通过网络连接到服务器并请求文件和目录的访问权限。文件共享:通过LinuxNFS,服务器上的文件系统可以被共享给多个客户端。客户端可以像访问本地文件一样,读取、写入、创建和删除

    编程的UNIX哲学原则
    编程的UNIX哲学原则

    1Unix哲学Unix哲学强调实用性,源自丰富经验,不受传统方法学或标准限制。这种知识更像是潜在的、半本能的。Unix程序员通过开发经验积累的知识可让其他程序员受益。(1)每个程序应专注于完成一项任务,遇到新任务时应重新开始,避免在原程序中添加新功能而导致复杂性增加。(2)假设程序的输出将成为另一个程序的输入,即使下一个程序尚不清楚,也应确保输出中不包含无关信息。(3)尽早将设计和编写的软件投入试用,对低质量代码应果断放弃并重新编写。(4)使用工具优先于低效的辅助手段来减轻编程任务的负担,精益求精,必须善

    在Linux系统中如何有效地切换应用程序
    在Linux系统中如何有效地切换应用程序

    通过进程的前后台切换方式实现不同应用的切换。背景:linux启动一个程序后,切换到后台执行,想继续在linux操作。在Linux中,你可以使用以下几种方法使一个程序在后台启动并退出,但仍然保持其进程运行:一、Linux启动一个程序在后台执行1.使用nohup和&:$nohupyour_program&使用nohup命令可以使程序忽略挂断信号(SIGHUP),这样即使你退出了终端,程序也会继续运行。&符号使程序在后台运行。2.使用ctrl+Z:如果你已经在前台启动了程序,可以使用ct

    如何打开esd文件
    如何打开esd文件

    ESD文件用什么程序打开ESD,即“ElectronicSoftwareDistribution”,是一种用于在计算机系统中分发和安装软件的文件格式。在使用Windows10操作系统时,我们可能会遇到ESD格式的软件安装文件。但是,由于ESD文件并不常见,所以很多人对如何打开和使用这种文件格式感到困惑。在本文中,我们将介绍一些常见的方法和程序,以帮助您打

    win10可顺利运行大型程序
    win10可顺利运行大型程序

    基于硬件的快速发展目前主流操作系统都是64位的,当然微软也提供32位版给某些配置比较低的平板电脑使用。32位之前还有16位,不过微软早在Windows95时代就开始逐渐远离16位操作系统,现在16位上古软件不常见。发布于2012年的Windows8其实也支持16位上古软件,当时微软在32位版的Windows8为16位软件提供支持。而64位Windows8直接抛弃对16位软件的支持,但万万没想到如今64位Windows10竟然还可以运行16位软件。在64位Windows10上运行VB3.0微软介绍开发者怎么

    查看更多
    精品专题 更多
    装机必备
    装机必备

    正软商城装机必备专区,精选办公、浏览器、安全防护、影音播放、压缩解压、设计创作和系统工具等电脑常用正版软件,帮助用户快速完成新电脑软件配置。

    Windows
    Windows

    正软商城Windows软件专区,汇集适用于Windows电脑的办公、设计、安全防护、影音播放、开发工具和系统优化软件,提供软件介绍、系统要求、正版授权及购买下载服务。

    PDF教程
    PDF教程

    正软商城PDF教程频道提供PDF编辑、转换、合并、拆分、压缩及格式处理方法,同时介绍常用PDF软件和工具的使用技巧。

    Mac软件 更多
    讯飞智作 网页版
    讯飞智作 网页版
    Windows/ macOS/ Linux

    讯飞智作是一款基于语音合成技术、虚拟人驱动技术与数字人形象声音构建能力的 AI 数字人音视频创作平台。

    火山引擎 网页版
    火山引擎 网页版
    Windows/ macOS/ Linux

    火山引擎是字节跳动旗下企业级云与AI服务平台。聚焦大模型核心能力,依托字节自研豆包多模态大模型,凭借火山方舟一站式平台,提供模型精调、推理部署、智能应用搭建等全链路服务,结合高性能AI算力,助力各行业快速落地大模型数字化与智能化应用。

    Aperty macOS版
    Aperty macOS版
    macOS

    Aperty 是 Skylum 推出的 AI 人像修图软件,支持自然肤质修饰、瑕疵处理、面部与身体调整、预设及批量同步。

    WINDOWS 更多
    讯飞智作 网页版
    讯飞智作 网页版
    Windows/ macOS/ Linux

    讯飞智作是一款基于语音合成技术、虚拟人驱动技术与数字人形象声音构建能力的 AI 数字人音视频创作平台。

    火山引擎 网页版
    火山引擎 网页版
    Windows/ macOS/ Linux

    火山引擎是字节跳动旗下企业级云与AI服务平台。聚焦大模型核心能力,依托字节自研豆包多模态大模型,凭借火山方舟一站式平台,提供模型精调、推理部署、智能应用搭建等全链路服务,结合高性能AI算力,助力各行业快速落地大模型数字化与智能化应用。

    PixTV 网页版
    PixTV 网页版
    Windows

    PixTV 是一款在浏览器中使用的 AI 视觉内容创作平台,提供图片、视频、音频、文字生成、AI 分镜、局部重绘、提示词反推和无限画布等工具,适合短剧、漫剧、广告及社交媒体内容制作。