☰

如何找到正在更改文件的 PHP 脚本

tag-icon • tag-icon apache-2.2 php security debian malware
如何找到正在更改文件的 PHP 脚本

我已经apache安装mod_phpPHP5。

我发现 apache 进程正在更改目录中的我的.htaccess和index.php文件/var/www。此目录中的所有文件均归所有www-data:www-data并具有ug=rwX,o=rX权限。

很明显，某些恶意软件 PHP 脚本正在执行此操作。我该如何找到它？

以下是 的输出auditd：

time->Thu Jun 26 21:15:12 2014
type=PATH msg=audit(1403802912.787:936): item=0 name="/var/www/example/htdocs/index.php" inode=1182278 dev=ca:01 mode=0100404 ouid=33 ogid=33 rdev=00:00
type=CWD msg=audit(1403802912.787:936):  cwd="/var/www/example/htdocs"
type=SYSCALL msg=audit(1403802912.787:936): arch=c000003e syscall=90 success=yes exit=0 a0=7fac1ef5a128 a1=104 a2=7 a3=7fac0e1490c0 items=1 ppid=12397 pid=22347 auid=4294967295 uid=33 gid=33 euid=33 suid=33 fsuid=33 egid=33 sgid=33 fsgid=33 tty=(none) ses=4294967295 comm="apache2" exe="/usr/lib/apache2/mpm-prefork/apache2" key=(null)

答案1

检查一下你当时的访问日志，也许你可以在那里找到一些东西。

相关内容