木馬查殺是運維長期堅持的核心工作。六大技術專區構建Linux主機纵深免疫體系：

六大防護專區

1. Web Server層（以Nginx為例）

• 虛擬主機目錄隔離：PHP-FPM多進程池實現租戶級隔離
• 上傳/庫目錄禁用腳本執行：Nginx正則location ~* \.php$ { deny all; }
• 修復path_info漏洞：if ($request_filename ~* (.*)\.php) { set $php_url $1; } if (!-e $php_url.php) { return 404; }
• 重編譯隱藏Server版本信息：server_tokens off;
• 啟用高等級訪問/錯誤日誌，記錄可疑請求/IP/UA/Referer

2. 文件系統層：唯讀鎖定

find -type f -name "*.php" -exec chmod 444 {} \;
find -type d -exec chmod 555 {} \;
# 排除上傳/緩存目錄
# 禁用chmod函數防攻擊者修改屬性寫入

3. PHP配置硬化：禁用高危函數

disable_functions = dl,eval,exec,passthru,system,popen,shell_exec,proc_open,proc_terminate,
curl_exec,curl_multi_exec,show_source,touch,escapeshellcmd,escapeshellarg

4. MySQL賬號最小權限

• 禁用root遠程登錄，skip-networking或bind-address=127.0.0.1
• 業務專用賬號：僅授予特定庫SELECT/INSERT/UPDATE/DELETE，拒絕DROP/ALTER/GRANT/FILE

5. 木馬特徵掃描與應急排查

# Webshell特徵掃描
grep -r --include="*.php" '[^a-z]eval($_POST' . > webshell.txt
grep -r --include="*.php" 'file_put_contents(.*$_POST\[.*\])' . > webshell.txt

# 近期異常文件
find -mtime -2 -type f -name "*.php"
# 注意：attacker可用touch竄改mtime，故touch必禁

6. 持續補丁管理

• OS內核/用戶態/第三方庫/語言運行時/中間件/應用框架全棧補丁
• 漏洞優先級：CVSS≥7/在野利用/影響核心業務 → 72小時內修復
• 自動化：Yum/DNF/Apt無人值守更新+驗證重啟+回滾預案

運營化建議

• 建立基線映像（Golden Image）含所有硬化配置
• 部署HIDS/文件完整性監控（AIDE/Tripwire/OSSEC/Wazuh）
• 日誌集中分析：ELK/Loki+Promtail+Grafana，關聯Web/系統/應用/審計日誌
• 定期紅隊演練驗證檢測/響應能力

Linux安全非一次配置，而是「基線+監控+響應+演練」的持續工程實踐。