日本服务器木马怎么检测

检测服务器是否被植入木马（包括位于日本或任何地区的服务器），核心思路都是一致的：通过异常行为、文件变更、网络连接和进程活动来发现痕迹。下面给你一套实用的检测思路和命令（以 Linux 服务器为主，Windows 服务器我也会简单补充）。

一、基础安全检查清单

1. 检查异常进程

top
htop
ps aux --sort=-%cpu
ps aux | grep -E 'curl|wget|bash|sh'

关注：

• 不认识的进程名
• 高 CPU / 内存占用
• 父进程异常（如 nginx 起了 shell）

2. 检查异常网络连接

netstat -antup
ss -antup
lsof -i

重点看：

• 连接到境外 IP（包括日本以外）
• 非常用端口（如 4444、1337、31337）
• 反向 shell（bash -i >& /dev/tcp）

3. 检查开机启动项

systemctl list-unit-files --type=service
crontab -l
ls -la /etc/cron*
cat ~/.bashrc
cat ~/.profile

木马常驻方式：

• systemd service
• cron job
• bashrc / profile

二、文件与目录检测

4. 查找最近被修改的文件

find / -mtime -3 -type f
find /var/www -mtime -1

重点目录：

• /tmp
• /dev/shm
• /var/tmp
• 网站根目录

5. 查找可疑文件

find / -name "*.sh" -o -name "*.py" | grep -v /usr
find / -perm -4000 -type f   # SUID 提权文件

6. 检查隐藏文件

ls -la /
ls -la /tmp

三、使用安全工具（强烈推荐）

7. 使用 rkhunter（Rootkit 检测）

yum install rkhunter
rkhunter --check

8. 使用 chkrootkit

chkrootkit

9. 使用 ClamAV（木马/病毒扫描）

clamscan -r / --bell -i

10. 使用 Lynis（系统安全审计）

lynis audit system

四、Web 木马专项检测（如日本服务器跑网站）

11. 常见 WebShell 特征

• eval($_POST[...])
• base64_decode
• assert
• system, exec, shell_exec

快速搜：

grep -r "eval(" /var/www
grep -r "base64_decode" /var/www

12. 使用工具

• D 盾（Windows）
• 河马 WebShell 扫描
• Linux：webshell-detector

五、日志分析

13. 系统日志

/var/log/auth.log
/var/log/secure
/var/log/messages

14. Web 日志

/var/log/nginx/access.log
/var/log/apache2/access.log

看：

• 奇怪的 POST 请求
• 扫描行为
• 登录爆破

六、如果你怀疑已经被控

建议操作：

1. 断网或限速
2. 保存日志和样本
3. 重装系统最安全
4. 修改所有密码 / 密钥
5. 检查是否有后门账户

七、Windows 日本服务器簡要

• 任务管理器 → 启动项
• netstat -ano
• Autoruns（Sysinternals）
• Process Explorer
• 火绒 / 卡巴斯基 / Windows Defender

如果你愿意，可以告诉我：

• 服务器系统（Linux / Windows）
• 用途（网站 / 游戏 / 代理 / 数据库）
• 已发现的现象（CPU 高？被墙？文件被改？）

我可以给你更针对性的检测方案。