Linux系统以其稳定性和安全性被广泛应用于服务器、开发环境及终端设备，但并非绝对安全，木马作为恶意软件的一种，常通过伪装正常程序、利用系统漏洞或用户疏忽入侵系统，窃取数据、控制资源或发起攻击，及时有效地查找木马是保障Linux系统安全的关键环节，本文将从日志分析、进程监控、文件校验、网络检测及安全工具五个维度，详细介绍Linux系统下木马查找的实用方法与技巧。
系统日志分析：追溯木马活动痕迹
系统日志是记录系统运行状态的核心文件,木马入侵或执行时往往会留下异常活动痕迹，如异常登录、权限提升、命令执行记录等，Linux系统的主要日志文件包括/var/log/auth.log（Ubuntu/Debian）或/var/log/secure（CentOS/RHEL），记录认证相关信息；/var/log/messages或/var/log/syslog记录系统核心事件；/var/log/kern.log记录内核相关日志。
通过分析这些日志,可快速定位可疑活动，使用grep命令过滤异常登录记录：
grep "Failed password" /var/log/auth.log | tail -n 20 # 查看近期失败登录尝试 grep "Accepted password" /var/log/auth.log | grep "root" # 查看root用户成功登录记录
若发现异常IP频繁尝试登录或非工作时间有root操作,需警惕暴力破解或权限窃取。last命令可查看用户登录历史，lastb则记录失败登录信息，结合时间与IP地址，可初步判断是否存在入侵行为，对于systemd系统，journalctl命令更为高效：
journalctl -u ssh --since "2026-01-01" | grep "Invalid user" # 查看SSH服务中的无效用户登录
日志分析需重点关注“异常时间、异常用户、异常操作”三大要素，结合日志轮转配置（如/etc/logrotate.conf）确保日志不被恶意清理。
进程监控：揪出可疑的“潜伏者”
木马常以进程形式驻留系统,伪装成正常服务（如kworker、systemd等）或隐藏自身（通过进程名混淆、进程注入等技术），通过进程监控，可发现异常资源占用、可疑父进程或非法启动路径。
基础进程查看命令ps aux或ps -ef需结合grep过滤关键信息：
ps aux --sort=-%cpu | head -n 10 # 按CPU占用率排序，查看高负载进程 ps -ef | grep "defunct" # 查看僵尸进程（异常进程可能以僵尸状态潜伏）
重点关注以下特征：
- 异常进程名：如
/tmp/123、bash -c等无明确含义的命名； - 可疑父进程：正常系统服务的父进程通常为
1（systemd）或0（内核），若发现父进程为普通用户进程（如/bin/bash），需警惕； - 资源异常：木马可能通过挖矿、DDoS攻击等消耗CPU/内存资源，若发现非业务进程长期占用高资源，需进一步排查。
top或htop命令可实时监控进程动态，按P（CPU）、M（内存）排序快速定位异常进程，对于隐藏进程，可借助/proc文件系统验证进程真实性：
ls -l /proc/[PID]/exe # 查看进程可执行文件路径 ls -l /proc/[PID]/cwd # 查看进程当前工作目录
若路径指向/tmp、/dev等非系统目录，或文件权限异常（如777），需高度怀疑木马。
文件完整性校验：发现异常篡改
木马入侵后常替换或篡改系统文件（如/bin/ls、/usr/bin/ps），以隐藏自身或维持控制权限，通过文件完整性校验，可对比文件当前状态与已知安全状态的差异，定位被篡改文件。
基础哈希校验
使用md5sum、sha256sum等工具生成关键文件的哈希值，与官方源或安全备份对比：
sha256sum /bin/ls > checksum.txt # 生成当前文件哈希 sha256sum -c checksum.txt # 校验文件是否被修改
若校验失败,说明文件已被篡改，需注意，哈希校验需在系统未受感染时提前生成基准值，感染后生成的基准值可能已被木马伪造。
系统包管理器校验
RPM系统（CentOS/RHEL）可通过rpm命令校验包文件：
rpm -Va # 校验所有已安装包的文件（V：校验，a：所有文件）
输出中的S（文件大小修改）、5（MD5哈希修改）、M（权限修改）等标记，均表示文件异常。
Debian/Ubuntu系统可使用debsums：
debsums -c # 校验已安装包的文件完整性
异常文件扫描
利用find命令扫描系统中的隐藏文件、异常权限文件或大文件：
find / -name ".*" -type f -mtime -7 # 查找7天内创建的隐藏文件 find / -perm -777 -type f # 查找权限为777的文件（正常系统文件极少开放全权限） find / -size +100M -mtime -1 # 查找24小时内创建的超过100MB的文件（可能是木马下载的数据）
重点关注/tmp、/var/tmp、/dev/shm等临时目录，以及用户主目录下的可疑文件。
网络行为分析：捕捉木马通信痕迹
木马需与控制端（C2服务器）通信以接收指令或回传数据，通过分析网络连接、端口流量及DNS解析，可发现异常通信行为。
活跃连接与端口检查
netstat或ss命令可查看当前网络连接状态：
netstat -tulnp # 查看所有监听端口及对应进程 netstat -an | grep ESTABLISHED | grep -v "127.0.0.1" # 查看已建立的对外连接
若发现未知IP（如境外IP）的ESTABLISHED连接，或监听端口为非标准端口（如33333、44444），需警惕木马通信。
流量抓包分析
对于可疑连接,可使用tcpdump抓包分析数据内容：
tcpdump -i eth0 -w capture.pcap host 192.168.1.100 and port 8080 # 抓取与目标IP的8080端口通信数据
通过Wireshark等工具打开.pcap文件，分析数据包特征（如加密流量、异常协议），判断是否为木马通信流量。
DNS与hosts文件校验
木马可能通过修改/etc/hosts文件实现DNS劫持，将正常域名解析到恶意IP，需检查/etc/hosts中是否有异常条目（如www.baidu.com 1.2.3.4），并使用nslookup或dig查询域名解析结果是否与预期一致。
安全工具辅助：自动化扫描与检测
手动排查效率较低且易遗漏,借助专业安全工具可实现自动化扫描与深度检测，提升木马发现概率。
杀毒软件与恶意代码扫描
ClamAV是Linux下开源的杀毒软件,可检测已知木马、病毒等恶意代码：
sudo apt install clamav # 安装（Ubuntu/Debian） sudo freshclam # 更新病毒库 clamscan -r / --remove # 扫描全盘并删除发现的恶意文件
Rootkit检测工具
Rootkit是木马的高级形式,可隐藏自身进程、文件和网络连接，需使用专用工具检测：
- Chkrootkit：通过对比系统文件与特征库，发现rootkit痕迹：
sudo apt install chkrootkit chkrootkit # 扫描系统
- Rkhunter：更全面的rootkit检测工具，支持文件校验、端口扫描等功能：
sudo apt install rkhunter sudo rkhunter --checkall # 执行全面检查
系统安全审计工具
Lynis可对Linux系统进行全面安全审计,发现潜在风险配置及异常行为：
sudo apt install lynis sudo lynis audit system # 生成系统安全报告
报告中的“Warnings”和“Suggestions”模块会提示异常登录、文件篡改、网络风险等问题，辅助定位木马线索。
小编总结与防护建议
Linux木马查找需结合“日志溯源-进程监控-文件校验-网络检测-工具扫描”的多维度方法，形成闭环排查，发现木马后，需立即隔离受感染系统，备份关键数据，并通过重装系统、修复漏洞、清除恶意文件等方式彻底清除威胁。
日常防护中,应遵循“最小权限原则”（避免使用root用户运行日常程序）、“定期更新系统与软件”（修复已知漏洞）、“禁用不必要服务与端口”（减少攻击面）、“定期备份重要数据”（确保数据可恢复）等措施，从源头降低木马入侵风险，Linux系统的安全性不仅依赖于技术手段，更需建立规范的安全管理流程，做到“早发现、早处置、早防护”。
