本文目录一览：
linux服务器中木马怎么处理
以下从几个方面在说明Linux系统环境安排配置防范和木马后门查杀的方法：
一、Web Server（以Nginx为例）
1、为防止跨站感染，将虚拟主机目录隔离（可以直接利用fpm建立多个程序池达到隔离效果）
2、上传目录、include类的库文件目录要禁止代码执行（Nginx正则过滤）
3、path_info漏洞修正：
在nginx配置文件中增加：
if ($request_filename ~* (.*)\.php) {
set $php_url $1;
if (!-e $php_url.php) {
return 404;
4、重新编译Web Server，隐藏Server信息
5、打开相关级别的日志，追踪可疑请求，请求者IP等相关信息。
二.改变目录和文件属性，禁止写入
find -type f -name \*.php -exec chmod 444 {} \;
find -type d -exec chmod 555 {} \;
注：当然要排除上传目录、缓存目录等；
同时最好禁止chmod函数，攻击者可通过chmod来修改文件只读属性再修改文件！
三.PHP配置
修改php.ini配置文件，禁用危险函数：
disable_funcions = dl,eval,exec,passthru,system,popen,shell_exec,proc_open,proc_terminate,curl_exec,curl_multi_exec,show_source,touch,escapeshellcmd,escapeshellarg
四.MySQL数据库账号安全：
禁止mysql用户外部链接，程序不要使用root账号，最好单独建立一个有限权限的账号专门用于Web程序。
五.查杀木马、后门
grep -r –include=*.php ‘[^a-z]eval($_POST’ . grep.txt
grep -r –include=*.php ‘file_put_contents(.*$_POST\[.*\]);’ . grep.txt
把搜索结果写入文件，下载下来慢慢分析，其他特征木马、后门类似。有必要的话可对全站所有文件来一次特征查找，上传图片肯定有也捆绑的，来次大清洗。
查找近2天被修改过的文件：
find -mtime -2 -type f -name \*.php
注意：攻击者可能会通过touch函数来修改文件时间属性来避过这种查找，所以touch必须禁止
六.及时给Linux系统和Web程序打补丁，堵上漏洞
服务器被中了木马,如何清除?
这是一种典型的挂马，黑客将你的服务器攻陷后(有时甚至不用攻陷），通过修改你网站代码，来达到抓肉鸡，赚取点击量或者其他什么目的。
首先，第一次出现的代码是比较原始的窗口弹出（就是将""中的广告以窗口方式弹出）而第二次的代码是经过修改的（实际上也是达到同样的目的，但通过修改代码，用等价代码替换，可以绕过杀软的查杀,但庆幸的是最后还是被查杀了）
要做到这个其实不难，这个黑客最有可能是通过注入，得到网站后台密码，再上传木马，得到webshell，在通过webshell来上传修改过的网站源码。另外，跨站方式也是有可能的，如果你的服务器有多个网站，黑客就可以通过别的网站来控制服务器，进而修改你的网站。还有其他方式比如弱口令等，但概率不大。
我推荐你一个黑客工具：啊D，你到网上搜一下，下载下来，可以用它来检测你的网站是否有注入漏洞。
最后提醒你一句：自从出现了黑客，网站都没有绝对安全。既然黑客已经入侵了你的服务器，说明你的网站绝对有漏洞，要尽快修补。还有，按照惯例，黑客入侵后一般会在服务器中留后门或是木马（而且很有可能经过免杀，杀软查不出来），你即使将刚才几个东西删除了，黑客还有可能卷土重来。最后，即将广告代码删了，保不齐黑客还会在服务器中留其他挂马语句（而且被修改的更变态，杀软无法查出,或是这句挂马语句不是用来弹窗的，而是用来植入木马的，这种挂马如果做得好根本没有任何外在表现）
祝你好运。
（纯手工答复）
服务器中了 木马病毒 杀不了？
你好：
你可以访问腾讯电脑管家官网，下载安装一个电脑管家，使用电脑管家的杀毒功能来查杀一下，就可以清除服务器中的病毒木马了
电脑管家的杀毒部分采用的是4+1引擎，包含金山和腾讯两个国内最大的云查杀引擎
以及以高查杀著称的德国小红伞本地引擎，查杀率非常的高，可以完美的清除各种顽
固的木马病毒
如果以后有什么问题，欢迎再来电脑管家企业平台询问，我们会尽心为您解答
腾讯电脑管家企业平台：
服务器被木马攻击怎么办
目前比较流行的ASP木马主要通过三种技术来进行对服务器的相关操作。
一、使用FileSystemObject组件
FileSystemObject可以对文件进行常规操作
可以通过修改注册表，将此组件改名，来防止此类木马的危害。
HKEY_CLASSES_ROOT\Scripting.FileSystemObject\
改名为其它的名字，如：改为FileSystemObject_ChangeName
自己以后调用的时候使用这个就可以正常调用此组件了
也要将clsid值也改一下
HKEY_CLASSES_ROOT\Scripting.FileSystemObject\CLSID\项目的值
也可以将其删除，来防止此类木马的危害。
注销此组件命令：RegSrv32 /u C:\WINNT\SYSTEM\scrrun.dll
禁止Guest用户使用scrrun.dll来防止调用此组件。
使用命令：cacls C:\WINNT\system32\scrrun.dll /e /d guests
二、使用WScript.Shell组件
WScript.Shell可以调用系统内核运行DOS基本命令
可以通过修改注册表，将此组件改名，来防止此类木马的危害。
HKEY_CLASSES_ROOT\WScript.Shell\
及
HKEY_CLASSES_ROOT\WScript.Shell.1\
改名为其它的名字，如：改为WScript.Shell_ChangeName或WScript.Shell.1_ChangeName
自己以后调用的时候使用这个就可以正常调用此组件了
也要将clsid值也改一下
HKEY_CLASSES_ROOT\WScript.Shell\CLSID\项目的值
HKEY_CLASSES_ROOT\WScript.Shell.1\CLSID\项目的值
也可以将其删除，来防止此类木马的危害。
三、使用Shell.Application组件
Shell.Application可以调用系统内核运行DOS基本命令
可以通过修改注册表，将此组件改名，来防止此类木马的危害。
HKEY_CLASSES_ROOT\Shell.Application\
及
HKEY_CLASSES_ROOT\Shell.Application.1\
改名为其它的名字，如：改为Shell.Application_ChangeName或Shell.Application.1_ChangeName
自己以后调用的时候使用这个就可以正常调用此组件了
也要将clsid值也改一下
HKEY_CLASSES_ROOT\Shell.Application\CLSID\项目的值
HKEY_CLASSES_ROOT\Shell.Application\CLSID\项目的值
也可以将其删除，来防止此类木马的危害。
禁止Guest用户使用shell32.dll来防止调用此组件。
使用命令：cacls C:\WINNT\system32\shell32.dll /e /d guests
注：操作均需要重新启动WEB服务后才会生效。
四、调用Cmd.exe
禁用Guests组用户调用cmd.exe
cacls C:\WINNT\system32\Cmd.exe /e /d guests
通过以上四步的设置基本可以防范目前比较流行的几种木马，但最有效的办法还是通过综合安全设置，将服务器、程序安全都达到一定标准，才可能将安全等级设置较高，防范更多非法入侵。