前序
手机上发来服务器被入侵的消息，这令人感到一脸懵，这个服务器也不是啥重要东西，上面啥也没有怎么还会被搞？被人搞了那也不能示弱了，
排查后门
开机进行分析。一登陆进服务器就想起来了之前做测试的时候直接在服务器上搭了个文件上传的靶场，就很难受了，这就是自作自受啊~~。没办法，只好先找马吧。首先就在upload的文件夹下发现了木马后门，然后查看隐藏文件时还发现了一个“不死马”。
又仔细看了下shell.php，这是个PHP的冰蝎马，这要进行流量分析肯定也溯源不回去啊，操作流量都是加密的。再看那个.config.php妥妥的“不死马”，删了还会再生。接下来肯定也溯源不回去啊，操作流量都是加密的。再看那个.config.php妥妥的“不死马”，删了还会再生。
1.创建一个和不死马生成的马一样名字的目录。
2.编写一个使用ignore_user_abort(true)函数的脚本，一直竞争写入删除不死马文件，其中usleep()的时间必须要小于不死马的usleep()时间才会有效果。
3.在具有高权限时，重启Apache直接删除即可。
4.如果没有权限重启就kill掉