PHP webshell检查工具 python版

白森

PHP webshell检查工具 python版

Web安全应急响应中，不免要检查下服务器上是否被上传了webshell，手工检查比较慢，就写了个脚本来检查了。Windows平台下已经有了lake2写的雷克图的了，一般的检查也够用了，写了个Linux下面的，用python写的。 　　1.使用方法：find.py 目录名称 　　2. 主要是采用python正则表达式来匹配的，可以在keywords中添加自己定义的正则，格式： 　　 ["eval\(\$\_POST","发现PHP一句话木马！"]  #前面为正则，后面为对这个正则的描述，会在日志中显示。 　　3.修改下文件后缀和关键字的正则表达式就可以成为其他语言的webshell检查工具了，^_^。 　　4.开发环境是windows xp+ActivePython 2.6.2.2，家里电脑没有Linux环境，懒得装虚拟机了，明天到公司Linux虚拟机测试下。 　　5.目前只是一个框架，随后慢慢完善。 #coding:gbk  import os,sys  import re    findtype=['.php'，'.inc'] #要检查的文件后缀类型    #要检查的关键字正则表达式和日志中的描述，是一个二维数组。  keywords=[ ["eval\(\$\_POST","发现PHP一句话木马！"],\         ["(system|shell_exec|exec|popen)","发现PHP命令执行函数!"]\       ]     writelog = open('log.txt', 'w+')    def checkfile(filename):      fp=open(filename)      content = fp.read()      for keyword in keywords:          if re.search(keyword[0],content,re.I):              log="%s:%s" % (filename,keyword[1])              #print log                        print >>writelog,log      fp.close()                  def checkdir(dirname):      try:          ls=os.listdir(dirname)      except:          print 'access deny'      else:          for l in ls:              temp=os.path.join(dirname,l)                      if(os.path.isdir(temp)):                  checkdir(temp)              else:          ext = temp[temp.rindex('.'):]          if ext in findtype:              checkfile(temp)                  if __name__=="__main__":      print "PHP webshell check for Python！"      print "By:Neeao"      print "http://Neeao.com"      if len(sys.argv) < 2:          print "%s C:\\" % sys.argv[0]         else:          print "Check start!"          dirs=sys.argv[1:]          #print dirs[0]          if os.path.exists(dirs[0]):              checkdir(dirs[0])          else:              print "Dir:'%s' not exists!" % dirs[0]                      print "Check finsh!"    writelog.close()