使用 awk 捕获恶意软件病毒活动所需的帮助

Question

我的服务器面临问题，因为有时恶意软件会在文件的末尾或开头添加代码。我已在我所知的范围内修复了安全漏洞。我的托管提供商已告知现在安全性足够，但我对网站上的病毒/恶意软件活动变得偏执。我有一个计划，但我不太熟悉 sed 或 awk 或 gawk 等 Linux 编辑器，因此需要您的帮助。我可以使用我的 PHP 知识来完成此操作，但这将非常耗费资源。

由于恶意软件/病毒在文件的开头或结尾添加代码（以便网站不会显示任何错误），您能否让我知道如何编写一个命令来递归地查看所有 .php 文件（我将使用帮助对父目录和所有子目录中的其他类型的文件进行更改，并在文件的开头和结尾添加特定标记，例如 XXXXXX_START 和 YYYYYY_END。

然后我需要一个脚本来读取所有 .php 文件并检查代码的第一行是否为 XXXXX_START，最后一行是否为 YYYYYYY_END，并在发现任何文件不同时创建报告。

我将设置一个 cron 来检查所有文件，并在发现任何差异时通过电子邮件将报告发送给我。

我知道这并不是 100% 万无一失，因为病毒可能会在注释行后添加数据，但这是我能想到的最佳选择。

---

我已尝试使用以下命令在开始时添加数据 -

sed -i -r  '1i add here' *.txt

但这不是递归的，它仅向父目录文件添加行。

然后我发现了这个—— BEGIN 和 END 是特殊模式。它们不用于匹配输入记录。相反，它们用于向 awk 脚本提供启动或清理信息。 BEGIN 规则在读取第一个输入记录之前执行一次。读取所有输入后，执行一次 END 规则。例如：

awk 'BEGIN { print "Analysis of `foo'" }
     /foo/ { ++foobar }
     END   { print "`foo' appears " foobar " times." }' BBS-list

但不幸的是，我无法破译任何东西。

非常感谢对上述细节的任何帮助。欢迎任何其他建议。

问候，

尼丁

Answer 1

您可以使用以下命令来修改文件（还创建名为 .bak 的备份文件）：

find . -name "*.php" | xargs sed -i.bak '1iSTART_XXXX
$aEND_YYYY'

您可以使用以下 shell 脚本来检查文件：

for f in `find . -name "*.php" -print`
do
    START_LINE=`head -1 $f`
    END_LINE=`tail -1 $f`

    if [[ $START_LINE != "START_XXXX" ]]
    then
        echo "$f: Mismatched header!"
    fi

    if [[ $END_LINE != "END_YYYY" ]]
    then
        echo "$f: Mismatched footer!"
    fi
done

Answer 2

使用版本控制和/或备份；如果出现可疑活动，请关闭实时站点并从备份或版本控制源重新安装。

Answer 3

$ find . -type f | grep "txt$" | xargs sed -i -r  '1i add here'

将该命令应用于当前目录中或当前目录下的所有文件。您可能可以将 grep 逻辑折叠到 find 中，但我喜欢简单的咒语。