当前位置：首页 > 范文大全 > 实用文>电脑中毒Linux find命令快速查找中毒文件教程

电脑中毒Linux find命令快速查找中毒文件教程

2023-04-15 07:51:06 收藏本文下载本文

“zzzzzz”通过精心收集，向本站投稿了7篇电脑中毒Linux find命令快速查找中毒文件教程，下面是小编为大家整理后的电脑中毒Linux find命令快速查找中毒文件教程，以供大家参考借鉴!

篇1：电脑中毒Linux find命令快速查找中毒文件教程

电脑中毒是不可避免的，得知系统中毒后，首要任务是找到病毒文件并将其清除，在Linux系统下可使用find命令查找病毒，下面以图文的形式为大家详细介绍下

电脑中毒是不可避免的，Linux系统也是如此，在得知系统中毒后，首要任务是找到病毒文件并将其清除，在Linux系统下可使用find命令查找病毒，下面通过实例讲解下find如何查找病毒，

例子

find wwwroot/* -type f -name “*.php” |xargs grep “eval（” 》 wwwroot/eval.txt

find wwwroot/* -type f -name “*.php” |xargs grep “udp：” 》 wwwroot/udp.txt

find wwwroot/* -type f -name “*.php” |xargs grep “tcp：” 》 wwwroot/tcp.txt

下面补充一下

网上流行在用的特征码是：（PS：不过一定有遗留）

后门特征-》cha88.cn

后门特征-》c99shell

后门特征-》phpspy

后门特征-》Scanners

后门特征-》cmd.php

后门特征-》str_rot13

后门特征-》webshell

后门特征-》EgY_SpIdEr

后门特征-》tools88.com

后门特征-》SECFORCE

后门特征-》eval（“？》

可疑代码特征-》system（

可疑代码特征-》passthru（

可疑代码特征-》shell_exec（

可疑代码特征-》exec（

可疑代码特征-》popen（

可疑代码特征-》proc_open

可疑代码特征-》eval（$

可疑代码特征-》assert（$

危险MYSQL代码-》returns string soname

危险MYSQL代码-》into outfile

危险MYSQL代码-》load_file

加密后门特征-》eval（gzinflate（

加密后门特征-》eval（base64_decode（

加密后门特征-》eval（gzuncompress（

加密后门特征-》gzuncompress（base64_decode（

加密后门特征-》base64_decode（gzuncompress（

一句话后门特征-》eval（$_

一句话后门特征-》assert（$_

一句话后门特征-》require（$_

一句话后门特征-》require_once（$_

一句话后门特征-》include（$_

一句话后门特征-》include_once（$_

一句话后门特征-》call_user_func（”assert“

一句话后门特征-》call_user_func（$_

一句话后门特征-》$_POST/GET/REQUEST/COOKIE［？］（$_POST/GET/REQUEST/COOKIE［？］

一句话后门特征-》echo（file_get_contents（$_POST/GET/REQUEST/COOKIE

上传后门特征-》file_put_contents（$_POST/GET/REQUEST/COOKIE，$_POST/GET/REQUEST/COOKIE

上传后门特征-》fputs（fopen（”？“，”w“），$_POST/GET/REQUEST/COOKIE［

.htaccess插马特征-》SetHandler application/x-httpd-php

.htaccess插马特征-》php_value auto_prepend_file

.htaccess插马特征-》php_value auto_append_file

Linux下find命令查找病毒文件的方法就介绍到这里了，使用find命令能够快速定位中毒的文件，及早清除病毒能够避免造成更多不必要的损失，

篇2：小命令快速查看电脑是否中毒

电脑病毒看似一个严重的问题，其实也很简单，一些基本的命令往往可以在保护网络安全上起到很大的作用，下面几条命令的作用就非常突出。她可以快速的检验电脑是不是被木马攻击。

一、检测网络连接

如果你怀疑自己的计算机上被别人安装了木马，或者是中了病毒，但是手里没有完善的工具来检测是不是真有这样的事情发生，那可以使用Windows自带的网络命令来看看谁在连接你的计算机。

具体的命令格式是：netstat -an这个命令能看到所有和本地计算机建立连接的IP，它包含四个部分——proto(连接方式)、local address(本地连接地址)、foreign address(和本地建立连接的地址)、state(当前端口状态)。通过这个命令的详细信息，我们就可以完全监控计算机上的连接，从而达到控制计算机的目的。

二、禁用不明服务

很多朋友在某天系统重新启动后会发现计算机速度变慢了，不管怎么优化都慢，用杀毒软件也查不出问题，这个时候很可能是别人通过入侵你的计算机后给你开放了特别的某种服务，比如IIS信息服务等，这样你的杀毒软件是查不出来的。但是别急，可以通过 “net start”来查看系统中究竟有什么服务在开启，如果发现了不是自己开放的服务，我们就可以有针对性地禁用这个服务了。

方法就是直接输入“net start”来查看服务，再用“net stop server”来禁止服务。

三、轻松检查账户

很长一段时间，恶意的攻击者非常喜欢使用克隆账号的方法来控制你的计算机。他们采用的方法就是激活一个系统中的默认账户，但这个账户是不经常用的，然后使用工具把这个账户提升到管理员权限，从表面上看来这个账户还是和原来一样，但是这个克隆的账户却是系统中最大的安全隐患。恶意的攻击者可以通过这个账户任意地控制你的计算机。

为了避免这种情况，可以用很简单的方法对账户进行检测。

首先在命令行下输入net user，查看计算机上有些什么用户，然后再使用“net user+用户名”查看这个用户是属于什么权限的，一般除了Administrator是administrators组的，其他都不是!如果你发现一个系统内置的用户是属于administrators组的，那几乎肯定你被入侵了，而且别人在你的计算机上克隆了账户。快使用“net user用户名/del”来删掉这个用户吧!

联网状态下的客户端。对于没有联网的客户端，当其联网之后也会在第一时间内收到更新信息将病毒特征库更新到最新版本。不仅省去了用户去手动更新的烦琐过程，也使用户的计算机时刻处于最佳的保护环境之下。

篇3：快速找出局域网的中毒电脑

在局域网环境中上网的朋友会经常碰到无故断线的情况，并且检查电脑也检查不出什么原因，其实出现这种情况，大部分情况下都是局域网中的某一台电脑感染了ARP类型的病毒所至。感染病毒，电脑一一杀毒，电脑过多的情况下显然很费时费力。现在就告诉你这三招两式，快速找出局域网中的“毒瘤”。

小提示： ARP：Address Resolution Protocol的缩写，即地址解析协议。ARP负责将电脑的IP地址转换为对应的物理地址，即网卡的MAC地址。当发生ARP欺骗时，相关主机会收到错误的数据，从而造成断网的情况发生。

一、查看防火墙日志

局域网中有电脑感染ARP类型病毒后，一般从防火墙的日志中可以初步判断出感染病毒的主机。

感染病毒的机器的典型特征便是会不断的发出大量数据包，如果在日志中能看到来自同一IP的大量数据包，多半情况下是这台机器感染病毒了。

这里以Nokia IP40防火墙为例，进入防火墙管理界面后，查看日志项，在“Event Log”标签下可以明显看到内网中有一台机器不断的有数据包被防火墙拦截，并且间隔的时间都很短。目标地址为公司WEB服务器的外网IP地址，设置过滤策略时对WEB服务器特意加强保护，所以可以看到这些项目全部是红色标示出来的(图1)。

图1

到WEB服务器的数据包被拦截了，那些没有拦截的数据包呢?自然是到达了目的地，而“目的”主机自然会不间断的掉线了。

由于内网采用的DHCP服务器的方法，所以只知道IP地址还没有用，必须知道对应的MAC地址，才能查到病毒源。我们可以利用NBTSCAN来查找IP所对应的MAC地址。如果是知道MAC地址，同样可以使用NBBSCAN来得到IP地址(图2)。

图2

由此可见，防火墙日志，有些时候还是可以帮上点忙的。

小提示：如果没有专业的防火墙，那么直接在一台客户机上安装天网防火墙之类的软件产品，同样能够看到类似的提醒。

二、利用现有工具

如果觉得上面的方法有点麻烦，且效率低下的话，那么使用专业的ARP检测工具是最容易不过的事了。这里就请出简单易用，但功能一点也不含糊的ARP 防火墙。

ARP防火墙可以快速的找出局域网中ARP攻击源，并且保护本机与网关之间的通信，保护本机的网络连接，避免因ARP攻击而造成掉线的情况发生。

软件运行后会自动检测网关IP及MAC地址并自动保护电脑，

如果软件自动获取的地址有错误，可单击“停止保护”按钮，填入正确的IP地址后，单击“枚取MAC”按钮，成功获取MAC地址后，单击“自动保护”按钮开始保护电脑。

当本机接收到ARP欺骗数据包时，软件便会弹出气泡提示，并且指出机器的MAC地址(图3)。

图3

单击“停止保护”按钮，选中“欺骗数据详细记录”中的条目，再单击“追捕攻击者”按钮，在弹出的对话框中单击确定按钮。

软件便开始追捕攻击源，稍等之后，软件会提示追捕到的攻击者的IP地址(图4)。

图4

其实大多数时候，不用手工追捕，软件会自动捕获到攻击源的MAC地址及IP地址。

还等什么?找到那颗“毒瘤”，将其断网，杀毒。局域网总算清静了!

三、有效防守

俗话说，进攻才是最好的防守。虽然通过上面的方法可以找到病毒源，并最终解决问题，不过长期有人打电话抱怨“又断线了……”。总是这样擦屁股，似乎不是长久之际，因此有效保护每一台机器不被ARP欺骗攻击才是上策。

比较有效的方法之一便是在每一台机器上安装ARP防火墙，设置开机自启动，并且在“拦截本机发送的攻击包”项打勾(图5)，这样不仅可以保护不受攻击，还可以防止本机已感染病毒的情况下，发送欺骗数据攻击别的机器的情况发生。

图5

另外，如果你只是在一个较小的局域网环境中，并且也不想安装ARP防火墙增加系统开销，可以手工绑定自己的MAC地址及IP地址，这样就也可以避免被ARP欺骗数据攻击。

首先使用IPCONFIG命令查看本机网卡的MAC地址及IP地址。然后输入“arp -d”将缓存数据清空，再执行“arp –s IP地址 Mac地址”绑定MAC地址及IP地址(图6)。

图6

使用这种方法绑定的弱点便是，机器重新启动之后，绑定便会失效，需要重新绑定。因此可将上面的命令行做成一个批处理文件，并将快捷方式拖放到开始菜单的“启动”项目中，这样就可以实现每次开机自动绑定了。

所谓“道高一尺，魔高一丈”，技术总是在不断更新，病毒也在不断的发展。使用可防御ARP攻击的三层交换机，绑定端口MAC-IP，合理划分VLAN，彻底阻止盗用IP、MAC地址，杜绝ARP的攻击，才是最佳的防范策略。对于经常爆发病毒的网络，可以进行Internet访问控制，限制用户对网络的访问。因为大部分ARP攻击程序网络下载到客户端，如果能够加强用户上网的访问控制，就能很好的阻止这类问题的发生。

篇4：如何检测电脑是否已经中毒？

如何知道自己的电脑是不是中木马或者中毒了？仅仅从反映慢来判断是很武断的，那么您可以通过如下方法来知道您的电脑是不是已经中毒了，

1.最简单，最有效，最直观用杀毒软件。

2,用系统自带的命令，netstat －an。查看下是否有向外的连接。这里要注意看得时候要把所有联网的东西都关了，包括QQ，浏览器，还有一些下载软件等。查看到有向外联接的IP不一定就是中病毒了。可以到网上查询下IP的来源，可以简单判断，但不一定准的，

3.用网络抓包工具，看是否向外发送不明数据包。

4.查看启动项，运行msconfig，然后在启动里看看有没有可疑的启动项，有的话去看看源文件。

5.右击“我的电脑”在里选“管理”然后再点服务，看下有没有可疑的服务存在，大部分服务只要去大的搜索网站搜一下就知道存在不存在了，是什么作用等等都很详细。如果确定了服务是个病毒服务，那么就可以右击该服务，看下属性里，是不是有可执行文件路径，这是病毒的路径，删掉就行了，再到注册表里删掉相应的服务就可以了。

篇5：电脑中毒该怎么办

一、不要重启

一般来说，当你发现有异常进程、不明程序运行，或者计算机运行速度明显变慢，甚至IE经常询问是否运行某些ActiveX控件、调试脚本等，那么这时候表示此时你可能已经中毒了。

而很多人感觉中毒后，认为首先要做的第一件事就是重新启动计算机。其实这种做法是极其错误的。当电脑中毒后，如果重新启动，那么极有可能造成更大的损失。

二、立急断开网络

由于病毒发作后，不仅让计算机变慢，而且也会破坏硬盘上的数据，同时还可能向外发送你的个人信息、病毒等，使危害进一步扩大。对此，发现中毒后，首先要做的就是断开网络。

断开网络的方法比较多，最简单的办法就是跑到电脑后面拨下网线，这也是最干脆的办法。不过在实际的应用中，我们并不需要这样麻烦，毕竟跑到电脑后面还是比较烦神的。如果安装了防火墙，可以在防火墙中直接断开网络，如果没有防火墙，那么可以右击“网上邻居”图标，在弹出的菜单中选择“属性”，在打开的窗口中右击“本地连接”，将其设为“禁用”即可。如果是拨号用户，那么只需要断开拨号连接或者关闭Moden设备即可。

三、备份重要文件

中毒后是不是应该立即进行杀毒，笔者个人认为如果电脑中没有重要的文件，那么怎么操作都无所谓，至多我把硬盘全盘格式化重新安装。但是如果电脑中保存有重要的数据、邮件、文档，那么应该在断开网络后立即将其备份到其它设备上，例如移动硬盘、光盘等。尽管要备份的这些文件可能包含病毒，但这要比杀毒软件在查毒时将其删除要好的多，

更何况病毒发作后，很有可能就进不了系统，因此中毒后及时备份重要文件是减轻损失最重要的做法之一。

四、全面杀毒

在没有了后顾之忧的时候，我们就可以进行病毒的查杀了。查杀应该包括两部分，一是在Windows系统下进行全面杀毒，二是在DOS下进行杀毒。目前，主流的杀毒软件一般都能直接制作DOS下的杀毒盘。

在杀毒时，建议用户先对杀毒软件进行必要的设置。例如扫描压缩包中的文件、扫描电子邮件等，同时对包含病毒的文件处理方式，例如可以将其设为“清除病毒”或“隔离”，而不是直接“删除文件”，这样做的目的是防止将重要的文件因为误操作而被删除。

五、更改重要资料设定

由于病毒、木马很多时候都是以窃取用户个人资料为目的，因此在进行了全面杀毒操作之后，必须将一些重要的个人资料，例如QQ、Email账户密码等重新设置。尤其是查杀出后发现是木马程序的，尤其需要进行这项工作。

六、检查网上邻居

如果是局域网用户，在处理了自己电脑的病毒之后，还要检查一下网络上其它计算机是否同样被感染了病毒。因为很多病毒发作后是会向网络中其它电脑发起攻击的。自己的电脑中了病毒，极可能会传染给网络上的其它计算机。如果不及时将其清理，那么极有可能会再反向传染。

检查的方法除了在每台电脑上进行全面的病毒清除，还可以安装金山网镖这类病毒防火墙，如果网络上有其它电脑中了病毒，那么病毒防火墙就会不停的阻拦攻击，我们只需要打开其拦截的日志，即可得知哪一个IP地址发出的病毒数据库，根据IP地址再找出该台电脑，并按上述的方法进行处理即可。

篇6：电脑中毒了怎么办

注：Windows以上系统适用

一、中毒的一些表现

我们怎样知道电脑中病毒了呢？其实电脑中毒跟人生病一样，总会有一些明显的症状表现出来。例如机器运行十分缓慢、上不了网、杀毒软件生不了级、word文档打不开，电脑不能正常启动、硬盘分区找不到了、数据丢失等等，就是中毒的一些征兆。

二、中毒诊断

1、按Ctrl+Shift+Ese键（同时按此三键），调出windows任务管理器查看系统运行的进程，找出不熟悉进程并记下其名称（这需要经验），如果这些进程是病毒的话，以便于后面的清除。暂时不要结束这些进程，因为有的病毒或非法的进程可能在此没法结束。点击性能查看CPU和内存的当前状态，如果CPU的利用率接近100%或内存的占用值居高不下，此时电脑中毒的可能性是95%。

2、查看windows当前启动的服务项，由“控制面板”的“管理工具”里打开“服务”。看右栏状态为“启动”启动类别为“自动”项的行；一般而言，正常的windows服务，基本上是有描述内容的（少数被骇客或蠕虫病毒伪造的除外），此时双击打开认为有问题的服务项查看其属性里的可执行文件的路径和名称，假如其名称和路径为C:\winnt\system32\explored.exe，计算机中招。有一种情况是“控制面板”打不开或者是所有里面的图标跑到左边，中间有一纵向的滚动条，而右边为空白，再双击添加/删除程序或管理工具，窗体内是空的，这是病毒文件winhlpp32.exe发作的特性。

3、运行注册表编辑器，命令为regedit或regedt32,查看都有那些程序与windows一起启动。主要看Hkey_Local_Machine\Software\MicroSoft\Windows\CurrentVersion\Run和后面几个RunOnce等，查看窗体右侧的项值，看是否有非法的启动项，

WindowsXp运行msconfig也起相同的作用。随着经验的积累，你可以轻易的判断病毒的启动项。

4、用浏览器上网判断。前一阵发作的Gaobot病毒，可以上yahoo.com,sony.com等网站，但是不能访问诸如www.symantec.com,www.ca.com这样著名的安全厂商的网站，安装了symantecNorton的杀毒软件不能上网升级。

5、取消隐藏属性，查看系统文件夹winnt(windows)\system32,如果打开后文件夹为空，表明电脑已经中毒；打开system32后，可以对图标按类型排序，看有没有流行病毒的执行文件存在。顺便查一下文件夹Tasks,wins,drivers.目前有的病毒执行文件就藏身于此；drivers\etc下的文件hosts是病毒喜欢篡改的对象，它本来只有700字节左右，被篡改后就成了1Kb以上，这是造成一般网站能访问而安全厂商网站不能访问、著名杀毒软件不能升级的原因所在。

6、由杀毒软件判断是否中毒，如果中毒，杀毒软件会被病毒程序自动终止，并且手动升级失败。

三、灭毒

1、在注册表里删除随系统启动的非法程序，然后在注册表中搜索所有该键值，删除之。当成系统服务启动的病毒程序，会在Hkey_Local_Machine\System\ControlSet001\services和controlset002\services里藏身，找到之后一并消灭。

2、停止有问题的服务，改自动为禁止。

3、如果文件system32\drivers\etc\hosts被篡改，恢复它，即只剩下一行有效值“127.0.0.1localhost”,其余的行删除。再把host设置成只读。

4、重启电脑，摁F8进“带网络的安全模式”。目的是不让病毒程序启动，又可以对Windows升级打补丁和对杀毒软件升级。

5、搜索病毒的执行文件，手动消灭之。

6、对Windows升级打补丁和对杀毒软件升级。

7、关闭不必要的系统服务，如remoteregistryservice。

8、第6步完成后用杀毒软件对系统进行全面的扫描，剿灭漏网之鱼。

9、上步完成后，重启计算机，完成所有操作。

四、建议

防范病毒作用远甚于查杀病毒。因此建立严密的防范措施是十分必要的。在具备条件的大中型网络里，应该软硬兼施、立体防护。理想得到情况是：Internet的接入处是外网防火墙；紧接着是防毒网关（熊猫卫士的性价比较高）；然后是路由器，服务器区，可为应用服务器配置一台病毒服务器；再往内是内网防火墙；内网架设杀毒服务器，每个用户都安装杀毒软件的可管理客户端。