搜索

[8105] 2014-06-25_用搜索神器Everything定位Webshell木马后门

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-17
2014-06-25_用搜索神器Everything定位Webshell木马后门 用 搜 索 神 器 E v e r y t h i n g 定 位 W e b s h e l l 木 马 后 门 _ z e r o   F r e e B u f   2 0 1 4 - 0 6 - 2 5 E v e r y t h i n g 是 速 度 最 快 的 文 件 名 搜 索 软 件 。 其 速 度 之 快 令 人 震 惊 ， 百 是 速 度 最 快 的 文 件 名 搜 索 软 件 。 其 速 度 之 快 令 人 震 惊 ， 百 G 硬 盘 几 十 万 个 文 件 ， 可 以 在 几 秒 钟 之 内 完 成 索 硬 盘 几 十 万 个 文 件 ， 可 以 在 几 秒 钟 之 内 完 成 索 引 ； 文 件 名 搜 索 瞬 间 呈 现 结 果 。 它 小 巧 免 费 ， 支 持 中 文 ， 支 持 正 则 表 达 式 ， 可 以 通 过 引 ； 文 件 名 搜 索 瞬 间 呈 现 结 果 。 它 小 巧 免 费 ， 支 持 中 文 ， 支 持 正 则 表 达 式 ， 可 以 通 过 H T T P 或 或 F T P 分 享 搜 索 结 果 。 分 享 搜 索 结 果 。 E v e r y t h i n g 搜 索 工 具 的 最 大 优 点 是 速 度 。 其 速 度 不 是 快 ， 是 极 快 ； 用 户 不 是 满 意 ， 而 是 震 惊 。 因 为 E v e r y t h i n g 的 索 引 无 需 逐 一 扫 描 硬 盘 文 件 ， 而 是 直 接 读 取 N T F S 文 件 系 统 的 U S N 日 志 。 所 以 速 度 已 经 快 到 令 人 震 惊 ， 甚 至 是 愤 怒 了 ： 凭 什 么 可 以 这 么 快 ！ “ 善 用 佳 软 ” 上 有 E v e r y t h i n g 的 详 细 介 绍 ： h t t p : / / x b e t a . i n f o / e v e r y t h i n g - s e a r c h - t o o l . h t m — – 分 割 线 分 割 线 — – 小 菜 最 近 闲 着 无 事 ， 搭 建 了 一 个 b l o g ， 但 因 为 是 第 一 次 ， 比 较 紧 张 ， 害 怕 被 黑 客 入 侵 ， 所 以 狂 补 安 全 方 面 的 知 识 ， 但 无 奈 自 身 水 平 不 够 ， 而 且 在 了 解 了 一 些 安 全 知 识 之 后 认 为 如 果 网 站 被 盯 上 了 ， 被 入 侵 是 迟 早 的 是 ， 所 以 ， 我 只 好 做 被 入 侵 之 后 的 打 算 了 ： 尽 可 能 的 查 找 被 嵌 入 的 w e b s h e l l … … 然 后 最 近 也 在 总 结 一 些 软 件 的 使 用 经 验 ， 刚 好 到 了 E v e r y t h i n g 这 款 搜 索 神 器 ， 学 着 学 着 就 想 试 试 用 E v e r y t h i n g 来 辅 助 w e b s h e l l 的 查 找 ， 也 就 有 了 下 面 的 内 容 （ 这 里 查 找 的 思 路 是 通 过 文 件 的 修 改 时 间 来 进 行 判 断 的 ， 因 为 对 于 一 个 相 对 稳 定 的 网 站 来 说 ， 网 页 代 码 不 会 经 常 性 的 发 生 变 化 ， 所 以 可 以 通 过 文 件 的 修 改 时 间 进 行 辅 助 判 断 ） ： 1 . 通 过 文 件 的 修 改 日 期 d a t e a c c e s s e d : < d a t e >         # 搜 索 在 指 定 日 期 被 访 问 的 文 件 或 文 件 夹 d a t e c r e a t e d : < d a t e >           # 搜 索 在 指 定 日 期 被 创 建 的 文 件 或 文 件 夹 d a t e m o d i f i e d : < d a t e >         # 搜 索 在 指 定 日 期 被 修 改 的 文 件 或 文 件 夹 d a : < d a t e >                       # d a t e a c c e s s e d : < d a t e > 的 简 写 d c : < d a t e >                       # d a t e c r e a t e d : < d a t e > 的 简 写 d m : < d a t e >                       # d a t e m o d i f i e d : < d a t e > 的 简 写 其 中 的 d a t e 的 语 法 格 式 和 一 些 常 量 如 下 ： d a t e 格 式 : y e a r m o n t h / y e a r   o r   y e a r / m o n t h   d e p e n d i n g   o n   l o c a l e   s e t t i n g s d a y / m o n t h / y e a r ,   m o n t h / d a y / y e a r   o r   y e a r / m o n t h / d a y   d e p e n d i n g   o n   l o c a l e   s e t t i n g s 一 些 d a t e 的 常 量 : t o d a y y e s t e r d a y t o m o r r o w < l a s t | p a s t | p r e v | c u r r e n t | t h i s | c o m i n g | n e x t > < y e a r | m o n t h | w e e k > < l a s t | p a s t | p r e v | c o m i n g | n e x t > < x > < y e a r s | m o n t h s | w e e k s | h o u r s | m i n u t e s | m i n s | s e c o n d s | s e c s > j a n u a r y | f e b r u a r y | m a r c h | a p r i l | m a y | j u n e | j u l y | a u g u s t | s e p t e m b e r | o c t o b e r | n o v e m b e r | d e c e m b e r j a n | f e b | m a r | a p r | m a y | j u n | j u l | a u g | s e p | o c t | n o v | d e c s u n d a y | m o n d a y | t u e s d a y | w e d n e s d a y | t h u r s d a y | f r i d a y | s a t u r d a y s u n | m o n | t u e | w e d | t h u | f r i | s a t u n k n o w n
实 际 使 用 举 例 如 下 ： C : U s e r s u s e r N a m e D e s k t o p   d a t e c r e a t e d : y e s t e r d a y         # 查 找 桌 面 上 昨 天 修 改 过 的 文 件 o r 文 件 夹 C : U s e r s u s e r N a m e D e s k t o p   d a t e m o d i f i e d : t o d a y         # 查 找 桌 面 上 今 天 修 改 过 的 文 件 o r 文 件 夹 C : U s e r s u s e r N a m e D e s k t o p   d a t e m o d i f i e d : 2 0 1 4 / 6 / 1 5         # 查 找 桌 面 上 在 2 0 1 4 / 6 / 1 5 这 天 修 改 过 的 文 件 o r 文 件 夹 { 2 0 1 4 / 6 / 1 5 这 个 格 式 和 你 本 地 的 设 定 有 关 ， 你 可 以 打 开 E v e r y t h i n g 看 " D a t e   M o d i f i e d " 那 一 列 的 显 示 格 式 } C : U s e r s u s e r N a m e D e s k t o p   d a t e m o d i f i e d : l a s t w e e k         # 查 找 桌 面 上 上 个 星 期 修 改 过 的 文 件 o r 文 件 夹 C : U s e r s u s e r N a m e D e s k t o p   d a t e m o d i f i e d : j a n u a r y         # 查 找 桌 面 上 在 一 月 份 修 改 过 的 文 件 o r 文 件 夹 提 示 ： 最 好 指 定 一 个 路 径 来 进 行 搜 索 （ 例 如 在 进 行 w e b s h e l l 检 测 时 ， 指 定 网 站 目 录 ） ， 否 则 速 度 很 慢 { 当 然 了 ， 这 与 个 人 电 脑 配 置 有 关 ， 在 我 的 瓜 机 上 面 很 慢 就 是 了 } 2 . 通 过 文 件 大 小 使 用 语 法 介 绍 ： s i z e : < s i z e > S e a r c h   f o r   f i l e s   w i t h   t h e   s p e c i f i e d   s i z e   i n   b y t e s . S i z e   S y n t a x : s i z e [ k b | m b | g b ] S i z e   C o n s t a n t s : e m p t y t i n y 0   K B   <   s i z e   < =   1 0   K B s m a l l 1 0   K B   <   s i z e   < =   1 0 0   K B m e d i u m 1 0 0   K B   <   s i z e   < =   1   M B l a r g e 1   M B   <   s i z e   < =   1 6   M B h u g e 1 6   M B   <   s i z e   < =   1 2 8   M B g i g a n t i c s i z e   >   1 2 8   M B u n k n o w n 实 际 举 例 如 下 ： 一 般 的 w e b s h e l l 文 件 也 不 大 { 当 然 了 ， 区 分 大 小 马 } ， 所 以 可 以 试 试 查 找 大 于 0 K B 小 于 1 0 K B 的 文 件 （ s i z e : t i n y ） 查 找 文 件 大 小 小 于 5 0 K B 的 文 件 方 法 （ s i z e : < = 5 0 k b ） 当 然 也 可 以 通 过 查 找 P H P 文 件 ， 然 后 再 按 文 件 大 小 排 序 的 方 式 来 进 行 。 3 . 简 洁 实 用 的 手 动 方 式 C : A p a c h e h t d o c s   * . p h p # 显 示 了 结 果 之 后 ， 再 按 照 文 件 修 改 时 间 / 大 小 / 文 件 名 排 序 ， 快 速 而 且 直 接 C : A p a c h e h t d o c s   * . p h p   |   * . j p g 一 般 是 通 过 指 定 搜 索 路 径 的 方 式 来 加 快 速 度 ， 可 以 通 过 多 种 方 式 的 结 合 来 达 到 自 己 的 目 的 ， 这 个 需 要 根 据 自 己 的 情 况 来 定 ， 这 里 就 不 细 说 了 。 上 面 提 供 的 只 是 一 种 思 路 ， 在 W i n d o w s 上 也 可 以 通 过 批 处 理 脚 本 或 P H P / P y t h o n 脚 本 编 写 功 能 更 强 大 的 w e b s h e l l 查 找 工 具 （ 之 前 在 F r e e b u f 上 也 有 过 几 篇 很 好 的 文 章 ， 比 如 ： h t t p : / / w w w . f r e e b u f . c o m / t o o l s / 8 3 4 1 . h t m l ） ， 不 过 就 效 率 ， 速 度 和 直 观 性 而 言 ， E v e r y t h i n g 这 款 工 具 确 实 还 是 非 常 值 得 推 荐 的 ！ E v e r y t h i n g 还 有 很 多 的 功 能 值 得 我 们 去 发 现 、 去 挖 掘 ， 多 组 合 、 多 尝 试 就 可 以 找 到 适 合 自 己 的 方 法 ， 祝 好 运 ！ 编 程 高 手 也 可 以 自 行 编 写 脚 本 调 用 E v e r y t h i n g 的 命 令 行 来 进 行 周 期 性 的 扫 描 、 报 告 ， 如 果 写 好 了 能 给 大 家 分 享 一 下 那 就 更 好 了 ( ☆ _ ☆ ) / ~ ~
— — — — — — — — – 在 L i n u x 上 因 为 原 生 集 成 了 很 多 命 令 行 工 具 ， 速 度 也 是 非 常 快 ， 所 以 也 不 用 其 他 多 余 的 工 具 了 ， 写 个 s h e l l 脚 本 ， 然 后 放 在 c r o n t a b 中 周 期 性 运 行 并 把 结 果 发 送 给 自 己 ， 效 果 还 是 很 不 错 的 。 — – 下 面 是 从 网 上 搜 集 的 一 些 使 用 f i n d / x a r g s / g r e p 的 命 令 组 合 查 找 w e b s h e l l 的 方 法 — – 查 找 " / p a t h / t o / w e b r o o t " 目 录 里 面 在 1 0 天 内 进 行 过 修 改 的 p h p 文 件 （ 可 根 据 需 要 进 行 微 调 ） ： f i n d   / p a t h / t o / w e b r o o t   - n a m e   " * . p h p "   - m t i m e   - 1 0 如 果 文 件 更 新 时 间 不 确 定 ， 我 们 可 以 通 过 查 找 关 键 字 的 方 法 来 确 定 。 要 想 查 的 准 确 需 要 熟 悉 w e b s h e l l 常 用 的 关 键 字 ， 我 这 里 列 出 一 些 常 用 的 ， 其 他 的 大 家 可 以 从 网 收 集 一 些 w e b s h e l l ， 总 结 自 己 的 关 键 字 ， 括 号 里 面 我 总 结 的 一 些 关 键 字 （ e v a l , s h e l l _ e x e c , p a s s t h r u , p o p e n , s y s t e m ） 查 找 方 法 如 下 ： f i n d   / p a t h / t o / w e b r o o t   - n a m e   " * . p h p "   | x a r g s   g r e p   " e v a l "   | l e s s f i n d   / p a t h / t o / w e b r o o t   - n a m e   " * . p h p "   | x a r g s   g r e p   " s h e l l _ e x e c "   | l e s s f i n d   / p a t h / t o / w e b r o o t   - n a m e   " * . p h p "   | x a r g s   g r e p   " p a s s t h r u "   | l e s s 当 然 你 还 可 以 导 出 到 文 件 ， 下 载 下 来 慢 慢 分 析 ： f i n d   / h o m e   - n a m e   " * . p h p " | x a r g s   g r e p   " f s o c k o p e n " | t e e   w e b s h e l l _ s c a n . l o g 这 里 我 就 不 一 一 罗 列 了 ， 如 果 有 自 己 总 结 的 关 键 字 直 接 替 换 就 可 以 。 当 然 并 不 是 所 有 的 找 出 的 文 件 都 是 w e b s h e l l ， 这 个 需 要 自 己 做 一 下 判 断 ， 判 断 的 方 法 也 简 单 ， 直 接 从 浏 览 器 访 问 一 下 这 个 文 件 或 者 和 自 己 找 的 一 些 w e b s h e l l 比 较 一 下 ， 看 得 多 了 ， 基 本 上 一 眼 就 可 以 判 断 是 不 是 w e b s h e l l 文 件 。 因 为 L i n u x 上 的 这 个 的 查 找 方 法 在 各 种 网 站 上 都 有 类 似 的 内 容 ， 没 法 找 到 原 文 出 处 ， 如 有 请 告 知 ， 谢 谢 。 最 后 来 点 猛 料 ： 在 查 找 w e b s h e l l 的 时 候 ， 集 中 注 意 力 是 非 常 必 要 的 ， 可 如 果 你 昨 天 看 了 些 小 电 影 而 导 致 精 力 不 足 无 法 集 中 精 神 排 查 的 话 可 是 非 常 要 命 的 ， 所 以 ， 你 需 要 ： 打 开 E v e r y t h i n g ， 在 搜 索 框 中 输 入 :   * . r m   |   * . r m v b   | * . a v i   |   * . w m v   |   * . m k v   |   * . m p e g   |   * . 3 g p ， 按 大 小 排 序 ， 选 择 非 系 统 视 频 文 件 ， 深 呼 吸 ， 闭 眼 ， 手 不 要 抖 ， 按 住 S h i f t + D e l 键 ( 是 的 ， s h i f t + d e l ， 剥 夺 它 们 进 回 收 站 的 权 利 ) ， 睁 眼 ， 露 出 灿 烂 的 笑 容 ， 生 活 原 来 如 此 美 好 ~ ~ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理