Linux系统安装和使用ClamAV杀毒软件扫描服务器木马脚本【详解】-LINUX-PHP中文网

clamav是linux服务器上专用于检测木马和恶意软件的开源命令行杀毒引擎，默认仅查杀不自动清除、无实时监控、不绕过权限限制；其核心工具clamscan为单次扫描、不依赖服务，而clamdscan需clamd守护进程支持、速度快但须确保服务运行及socket可达。

linux系统安装和使用clamav杀毒软件扫描服务器木马脚本【详解】

ClamAV 在 Linux 服务器上能有效扫描已知木马和恶意软件，但默认不自动清除、不实时监控、不绕过权限限制——它是个“发现者”，不是“清道夫”。你得自己决定扫哪里、怎么报、扫到后怎么处理。

两者核心区别不在功能强弱，而在运行模型和权限边界：

clamscan 是单次命令行工具，不依赖服务，适合一次性扫描或低频检查；但它每次都要加载病毒库，速度慢，且无法跳过 root 权限保护的路径（比如 /proc、/sys 下的部分文件）
clamdscan 依赖 clamd 守护进程，病毒库常驻内存，扫描快 3–5 倍；它能以 clamav 用户身份访问更多路径（前提是配置了 AllowSupplementaryGroups yes 并把 clamav 加入目标目录所属组），但必须确保 clamd 正在运行且 socket 可达
常见错误：clamdscan: connect() to /var/run/clamd.scan/clamd.sock failed —— 这说明 clamd 没启动，或 LocalSocket 路径在 /etc/clamd.d/scan.conf 里配错了，或 socket 文件权限不对（应属 clamav:clamav，且至少 660）

病毒库拉不下来，90% 不是网络问题，而是配置或权限卡点：

在无 root/sudo 权限的环境（云容器、VPS、隔离主机）中安装并配置 OpenClaw 浏览器工具的 headless Chrome。适用场景：...

下载

ERROR: Can't open /var/lib/clamav/clamav-xxx.cvd 或 ERROR: getfile: Download interrupted：检查 /var/lib/clamav 所有者是否为 clamav:clamav，且目录可写；freshclam 默认以该用户运行，权限不对会静默失败
ERROR: Your ClamAV version is outdated：系统仓库版（如 CentOS 7 自带的 0.103）可能被官方拒绝服务；查 clamscan --version，若低于 1.0.0，必须源码编译或换 EPEL 仓库
ERROR: HTTP GET failed 且确认网络通：国内服务器大概率被 DNS 污染或 TLS 握手失败；在 /etc/clamav/freshclam.conf 中取消注释 DatabaseMirror database.clamav.net，并添加镜像行如 DatabaseMirror clamav.threats.org（需确认镜像可用）；同时确保 libcurl 版本 ≥ 7.40（rpm -q libcurl 或 dpkg -l | grep libcurl）

直接丢个 clamscan -r / --remove 到 crontab，轻则漏扫、重则删崩系统：

不要扫 /proc、/sys、/dev —— 这些是虚拟文件系统，clamscan 会反复尝试读取导致大量 Permission denied 日志刷屏，甚至触发 OOM；加 --exclude=/proc --exclude=/sys --exclude=/dev
--remove 是危险操作：它会静默删除所有匹配签名的文件，包括被篡改的合法二进制（如被注入 shellcode 的 /usr/bin/ssh）；生产环境建议先用 --infected --bell 报警，人工确认后再处理
日志路径要绝对且可写：-l /var/log/clamav/scan-$(date +\%F).log，否则 cron 下执行时工作目录不确定，日志可能写到 root 家目录或直接丢弃
如果用 clamdscan，必须在脚本开头加判断：if ! systemctl is-active --quiet clamd; then exit 1; fi，避免服务宕掉还硬扫

ClamAV 的检测基于签名，对混淆、无文件、内存驻留类木马基本无效；即使报出 Elf.Trojan.Mirai-XXXX，也只代表“这个文件匹配已知样本”，不等于它正在运行或具备危害：

先用 ps auxf | grep -E "(mirai|shellbot|ddgs)" 看进程，再用 lsof -p PID 查该进程打开的文件
检查 /tmp、/dev/shm、/var/tmp 下的可疑 ELF 文件（file /tmp/xxxx 看类型，strings /tmp/xxxx | head -20 看硬编码 IP 或域名）
查登录日志：lastb | head -20（爆破记录）、journalctl -u sshd --since "2 hours ago" | grep "Accepted"（异常登录）
--remove 删除后，务必检查该文件是否被 systemd 或 cron 自动重建（比如被写入 /etc/cron.d/ 的持久化任务）