最近發(fā)現(xiàn)有臺服務(wù)器中毒了,手動去查殺總是會有遺漏,最后安裝了Linux下的殺毒軟件clamav,使用起來還是不錯的。
環(huán)境:Linux 6.8
版本:
clamav-0.99.2.tar.gz
依賴關(guān)系:
yum install pcre* zlib zlib-devel libssl-devel libssl
openssl version 0.9.8 or higher
一.安裝clamav
有兩種方法安裝:
1.yum安裝
用epel源進(jìn)行安裝,但是需要連網(wǎng)才行(不過能中毒的也一般都是有外網(wǎng)的)
安裝后會自動生成服務(wù)文件,啟動服務(wù)后,可使用clamdsacn命令,掃描速度快。
啟動服務(wù)后,會實時監(jiān)控掃描連接,雖然安全性高了,不過可能會對服務(wù)器性能有影響。
下載安裝epel.repo文件
linux6和7通用,6會提示找不到一些組件
1 | #yum install clamav clamav-server clamav-data clamav-update clamav-filesystem clamav-scanner-systemd clamav-devel clamav-lib clamav-server-systemd |
這種方法安裝后,病毒庫默認(rèn)地址是/var/lib/clamav
2.源碼安裝
需要手動編譯安裝,安裝雖然不需要連網(wǎng),但更新病毒庫還是需要聯(lián)網(wǎng)
安裝后不用啟動服務(wù),不能使用clamdsacn命令,可使用clamscan命令,掃描速度相對較慢
官網(wǎng)下載clamav
1 2 3 4 5 6 | #tar zxvf clamav-0.99.2.tar.gz #cd clamav-0.99.2 #要帶pcre,要不然執(zhí)行clamscan會報錯 #./configure --prefix=/usr/local/clamav --with-pcre #make #make install |
配置文件(yum安裝的話大部分步驟可以省略,會自動創(chuàng)建)
1 2 3 4 5 | #cd /usr/local/clamav/etc/ #cp clamd.conf.sample clamd.conf #cp freshclam.conf.sample freshclam.conf 注釋掉clamd.conf和freshclam.conf中的 # Example 注釋掉這一行. 第8 行 |
#創(chuàng)建用戶,創(chuàng)建存放病毒庫目錄
1 2 3 | # useradd clamav -s /sbin/nologin # mkdir -p /usr/local/clamav/share/clamav # chown clamav:clamav /usr/local/clamav/share/clamav |
二、更新病毒庫
執(zhí)行更新命令,下載病毒庫
# /opt/clamav/bin/freshclam
一般都下載不了
可以wget到本地來
1 2 3 4 5 6 | #cd /usr/local/clamav/share/clamav #wget http: //database.clamav.net/main.cvd #wget http: //database.clamav.net/daily.cvd #wget http: //database.clamav.net/bytecode.cvd # chown clamav:clamav * |
三、命令掃描
clamav有兩個命令:clamdscan、clamscan
clamdscan命令一般用yum安裝才能使用,需要啟動clamd服務(wù),執(zhí)行速度快
clamscan命令通用,不依賴服務(wù),命令參數(shù)較多,執(zhí)行速度稍慢
clamdscan:
1 2 3 | #service clamd start 用clamdscan掃描,需要開始服務(wù)才能使用。速度快,不用帶-r,默認(rèn)會遞歸掃描子目錄 #clamdscan /usr |
clamscan:
用clamscan掃描,不需要開始服務(wù)就能使用。速度慢,要帶-r,才會遞歸掃描子目錄
1 2 | #clamscan -r /usr 這個命令不僅會顯示找到的病毒,正常的掃描文件也會顯示出來。 |
可以用下面這個命令,只顯示找到的病毒信息
1 2 3 4 | # clamscan --no-summary -ri /tmp -r 遞歸掃描子目錄 -i 只顯示發(fā)現(xiàn)的病毒文件 --no-summary 不顯示統(tǒng)計信息 |
可以寫個腳本,用這句命令定期掃描,有返回值即觸發(fā)告警。