核心要点（TL;DR）
- 后门检测需结合文件、进程、网络和日志多维度排查。
- webshell常用命令：find /var/www -name '*.php' -mtime -7。
- rootkit检测可借助rkhunter、chkrootkit等工具。
- 定期检查启动项和定时任务能发现持久化后门。
服务器突然出现异常外联、CPU占用飙升，或者网站被插入不明页面，很可能是后门在作祟。后门检测是运维和站长的必备技能，但面对海量文件和进程，如何快速定位？本文从后门原理讲起，梳理常见后门类型，并给出可落地的检测命令和检查清单，帮你高效排查。
后门是什么：原理与危害
后门是攻击者绕过正常认证、长期控制系统的隐蔽通道。其原理通常包括：持久化（开机自启、定时任务）、隐蔽性（进程隐藏、文件伪装）、通信（反向连接、DNS隧道）。后门危害极大，可导致数据泄露、服务器沦为肉鸡、业务被篡改。检测的核心思路是寻找异常的文件、进程、网络连接和配置。
常见后门类型一览
了解后门类型有助于针对性检测。常见类型包括：
- Webshell：上传到Web目录的恶意脚本，如PHP、JSP、ASPX，提供文件管理、命令执行功能。
- Rootkit：内核级后门，隐藏进程、文件和网络连接，难以发现。
- 启动项后门：修改/etc/rc.local、systemd服务、cron定时任务等实现自启。
- SSH后门：替换sshd二进制或添加恶意公钥，允许攻击者免密登录。
- 账号后门：添加UID为0的用户或克隆root账号。
- 服务后门：安装恶意服务，如伪造的nginx、mysql。
下表对比了不同类型后门的检测要点：
| 后门类型 | 检测重点 | 常用命令/工具 |
|---|---|---|
| Webshell | Web目录近期修改文件、危险函数 | find, grep, D盾 |
| Rootkit | 进程隐藏、二进制替换 | rkhunter, chkrootkit |
| 启动项后门 | cron、systemd、rc.local | crontab -l, systemctl list-unit-files |
| SSH后门 | authorized_keys、sshd二进制 | cat ~/.ssh/authorized_keys, rpm -V openssh-server |
| 账号后门 | UID为0的用户 | awk -F: '==0' /etc/passwd |
实战检测：分步排查思路
1. 检查网络连接与进程
运行ss -tunlp或netstat -antp查看监听端口和外部连接，重点关注陌生IP和非常用端口。用ps auxf查看进程树，寻找异常名称（如随机字符串）或高资源占用进程。结合lsof -p PID查看进程打开的文件。
2. 扫描Web目录与文件
使用find /var/www -type f -mtime -7 -name '*.php'列出近期修改的PHP文件。用grep -rE 'eval\(|assert\(|base64_decode\(' /var/www --include='*.php'搜索危险函数。也可使用河马webshell查杀工具进行全盘扫描。
3. 检查持久化机制
运行crontab -l和ls -la /etc/cron.*查看定时任务。检查/etc/rc.local、/etc/init.d/和systemd服务：systemctl list-unit-files --type=service。关注非标准服务。
4. 检查账号与SSH后门
用awk -F: '==0' /etc/passwd查找UID为0的用户。检查~/.ssh/authorized_keys是否有陌生公钥。用rpm -V openssh-server验证sshd二进制是否被篡改。
5. 使用专业工具辅助
安装rkhunter和chkrootkit进行rootkit扫描：rkhunter --check。使用ClamAV扫描病毒。对于高级后门，可考虑使用osquery进行系统状态查询。
检测清单与防护建议
日常巡检可遵循以下清单：
- 每日检查cron和系统服务有无新增。
- 每周扫描Web目录近期修改文件。
- 每月使用rkhunter全盘扫描。
- 监控异常外联和登录日志。
防护方面，建议部署WAF拦截恶意上传，限制Web目录执行权限，启用文件完整性监控（如AIDE）。在主机层，可借助AegisX的入侵检测能力，实时发现异常进程和文件变化，提升响应速度。
行动建议
后门检测重在持续和细致。建议立即运行一次全面排查，并建立基线：记录正常进程、端口和文件哈希，便于日后对比。同时，定期更新系统和应用补丁，最小化服务暴露面，从源头降低被植入后门的风险。
常见问题（FAQ）
服务器可能被植入了后门，我该从哪里开始排查？
建议从网络连接和进程入手。先运行netstat -antp或ss -tunlp查看异常外联和监听端口，再用ps auxf分析可疑进程。接着检查/var/www等Web目录是否有近期修改的脚本文件，并查看cron定时任务和系统启动项。多维度交叉验证能快速定位后门。
如何检测网站是否被上传了webshell？
重点检查Web目录中近期修改的文件和异常代码。使用find /var/www -type f -mtime -7 -name '*.php'列出最近7天修改的PHP文件，再用grep搜索eval、assert、base64_decode等危险函数。也可用专业工具如D盾、河马webshell查杀进行扫描。
rootkit后门怎么查？普通检测命令能发现吗？
rootkit常隐藏进程和文件，普通命令可能被劫持。建议使用rkhunter和chkrootkit等专杀工具进行扫描，并对比ps、netstat命令的二进制文件是否被替换。对于高级rootkit，可能需要离线挂载磁盘或使用Live CD进行检测。
有哪些实用的后门检测工具推荐？
常用工具包括：rkhunter和chkrootkit用于rootkit检测；ClamAV用于病毒扫描；D盾和河马webshell查杀用于Web后门；Lynis用于系统安全审计。此外，osquery可以方便地查询系统状态，结合ELK等日志分析平台能提升检测效率。
如何防止服务器被植入后门？
预防胜于治疗。建议定期更新系统和软件补丁，使用强密码和密钥登录，关闭不必要的端口和服务，部署WAF拦截恶意上传，限制Web目录执行权限，并启用文件完整性监控（如AIDE）。同时，定期进行安全审计和日志分析，及时发现异常。