|
最近發(fā)現(xiàn)有臺(tái)服務(wù)器中毒了，手動(dòng)去查殺總是會(huì)有遺漏，最后安裝了Linux下的殺毒軟件clamav，使用起來(lái)還是不錯(cuò)的。
環(huán)境：
Linux 6.8
版本：
clamav-0.99.2.tar.gz
依賴關(guān)系：
yum install pcre* zlib zlib-devel libssl-devel libssl
openssl version 0.9.8 or higher
一.安裝clamav
有兩種方法安裝：
1.yum安裝
用epel源進(jìn)行安裝，但是需要連網(wǎng)才行（不過能中毒的也一般都是有外網(wǎng)的）
安裝后會(huì)自動(dòng)生成服務(wù)文件，啟動(dòng)服務(wù)后，可使用clamdsacn命令，掃描速度快。
啟動(dòng)服務(wù)后，會(huì)實(shí)時(shí)監(jiān)控掃描連接，雖然安全性高了，不過可能會(huì)對(duì)服務(wù)器性能有影響。
下載安裝epel.repo文件
linux6和7通用，6會(huì)提示找不到一些組件
1 | #yum install clamav clamav-server clamav-data clamav-update clamav-filesystem clamav-scanner-systemd clamav-devel clamav-lib clamav-server-systemd
|
這種方法安裝后，病毒庫(kù)默認(rèn)地址是/var/lib/clamav
2.源碼安裝
需要手動(dòng)編譯安裝，安裝雖然不需要連網(wǎng)，但更新病毒庫(kù)還是需要聯(lián)網(wǎng)
安裝后不用啟動(dòng)服務(wù)，不能使用clamdsacn命令，可使用clamscan命令，掃描速度相對(duì)較慢
官網(wǎng)下載clamav
1 2 3 4 5 6 | #tar zxvf clamav-0.99.2.tar.gz
#cd clamav-0.99.2
#要帶pcre，要不然執(zhí)行clamscan會(huì)報(bào)錯(cuò)
#./configure --prefix=/usr/local/clamav --with-pcre
#make
#make install
|
配置文件（yum安裝的話大部分步驟可以省略，會(huì)自動(dòng)創(chuàng)建）
1 2 3 4 5 | #cd /usr/local/clamav/etc/
#cp clamd.conf.sample clamd.conf
#cp freshclam.conf.sample freshclam.conf
注釋掉clamd.conf和freshclam.conf中的
# Example 注釋掉這一行. 第8 行
|
#創(chuàng)建用戶，創(chuàng)建存放病毒庫(kù)目錄
1 2 3 | # useradd clamav -s /sbin/nologin
# mkdir -p /usr/local/clamav/share/clamav
# chown clamav:clamav /usr/local/clamav/share/clamav
|
二、更新病毒庫(kù)
執(zhí)行更新命令，下載病毒庫(kù)
# /opt/clamav/bin/freshclam
一般都下載不了
可以wget到本地來(lái)
1 2 3 4 5 6 | #cd /usr/local/clamav/share/clamav
#wget http://database.clamav.net/main.cvd
#wget http://database.clamav.net/daily.cvd
#wget http://database.clamav.net/bytecode.cvd
# chown clamav:clamav *
|
三、命令掃描
clamav有兩個(gè)命令：clamdscan、clamscan
clamdscan命令一般用yum安裝才能使用，需要啟動(dòng)clamd服務(wù)，執(zhí)行速度快
clamscan命令通用，不依賴服務(wù)，命令參數(shù)較多，執(zhí)行速度稍慢
clamdscan：
1 2 3 | #service clamd start
用clamdscan掃描，需要開始服務(wù)才能使用。速度快，不用帶-r，默認(rèn)會(huì)遞歸掃描子目錄
#clamdscan /usr
|
clamscan：
用clamscan掃描，不需要開始服務(wù)就能使用。速度慢，要帶-r，才會(huì)遞歸掃描子目錄
1 2 | #clamscan -r /usr
這個(gè)命令不僅會(huì)顯示找到的病毒，正常的掃描文件也會(huì)顯示出來(lái)。
|
可以用下面這個(gè)命令，只顯示找到的病毒信息
1 2 3 4 | # clamscan --no-summary -ri /tmp
-r 遞歸掃描子目錄
-i 只顯示發(fā)現(xiàn)的病毒文件
--no-summary 不顯示統(tǒng)計(jì)信息
|
可以寫個(gè)腳本，用這句命令定期掃描，有返回值即觸發(fā)告警。
|
