最近發現有台服務器中毒了，手動去查殺總是會有遺漏，最后安裝了Linux下的殺毒軟件clamav，使用起來還是不錯的。
環境：
Linux 6.8
版本：
clamav-0.99.2.tar.gz
依賴關系：
yum install pcre* zlib zlib-devel libssl-devel libssl
openssl version 0.9.8 or higher
一.安裝clamav
有兩種方法安裝：
1.yum安裝
用epel源進行安裝，但是需要連網才行（不過能中毒的也一般都是有外網的）
安裝后會自動生成服務文件，啟動服務后，可使用clamdsacn命令，掃描速度快。
啟動服務后，會實時監控掃描連接，雖然安全性高了，不過可能會對服務器性能有影響。
下載安裝epel.repo文件
linux6和7通用，6會提示找不到一些組件
|
1
|
#yum install clamav clamav-server clamav-data clamav-update clamav-filesystem clamav-scanner-systemd clamav-devel clamav-lib clamav-server-systemd
|
這種方法安裝后，病毒庫默認地址是/var/lib/clamav
2.源碼安裝
需要手動編譯安裝，安裝雖然不需要連網，但更新病毒庫還是需要聯網
安裝后不用啟動服務，不能使用clamdsacn命令，可使用clamscan命令，掃描速度相對較慢
官網下載clamav
|
1
2
3
4
5
6
|
#tar zxvf clamav-0.99.2.tar.gz
#cd clamav-0.99.2
#要帶pcre，要不然執行clamscan會報錯
#./configure --prefix=/usr/local/clamav --with-pcre
#make
#make install
|
配置文件（yum安裝的話大部分步驟可以省略，會自動創建）
|
1
2
3
4
5
|
#cd /usr/local/clamav/etc/
#cp clamd.conf.sample clamd.conf
#cp freshclam.conf.sample freshclam.conf
注釋掉clamd.conf和freshclam.conf中的
# Example 注釋掉這一行. 第8 行
|
#創建用戶，創建存放病毒庫目錄
|
1
2
3
|
# useradd clamav -s /sbin/nologin
#
mkdir
-p /usr/local/clamav/share/clamav
#
chown
clamav:clamav /usr/local/clamav/share/clamav
|
二、更新病毒庫
執行更新命令，下載病毒庫
# /opt/clamav/bin/freshclam
一般都下載不了
可以wget到本地來
|
1
2
3
4
5
6
|
#cd /usr/local/clamav/share/clamav
#wget http:
//database.clamav.net/main.cvd
#wget http:
//database.clamav.net/daily.cvd
#wget http:
//database.clamav.net/bytecode.cvd
#
chown
clamav:clamav *
|
三、命令掃描
clamav有兩個命令：clamdscan、clamscan
clamdscan命令一般用yum安裝才能使用，需要啟動clamd服務，執行速度快
clamscan命令通用，不依賴服務，命令參數較多，執行速度稍慢
clamdscan：
|
1
2
3
|
#service clamd start
用clamdscan掃描，需要開始服務才能使用。速度快，不用帶-r，默認會遞歸掃描子目錄
#clamdscan /usr
|
clamscan：
用clamscan掃描，不需要開始服務就能使用。速度慢，要帶-r，才會遞歸掃描子目錄
|
1
2
|
#clamscan -r /usr
這個命令不僅會顯示找到的病毒，正常的掃描文件也會顯示出來。
|
可以用下面這個命令，只顯示找到的病毒信息
|
1
2
3
4
|
# clamscan --no-summary -ri /tmp
-r 遞歸掃描子目錄
-i 只顯示發現的病毒文件
--no-summary 不顯示統計信息
|
可以寫個腳本，用這句命令定期掃描，有返回值即觸發告警。