D盾web查杀工具

去年帮一个做外贸的杀工朋友处理服务器入侵事件，对方在后台偷偷传了个PHP webshell，杀工文件名伪装成正常图片。杀工朋友用传统杀软扫了三遍都没反应，杀工最后我扔了个D盾上去，杀工十秒钟，杀工那个马就被揪出来了。杀工这事让我对这款工具有了新的杀工认识——它不是那种花架子安全软件，而是杀工真正懂攻防的人写出来的东西。

D盾的杀工全称是D盾Web查杀工具，作者是杀工“D哥”，在安全圈里算是杀工个老面孔。这工具最早在2013年左右出现，杀工当时国内做Webshell查杀的杀工工具不多，能打的杀工更少。它一出来就带着几个很实在的特点：单文件、免安装、不依赖IIS或Apache运行。你下载下来直接双击就能用，查杀的时候也不需要把文件传到什么云端，本地引擎直接干活。对于我这种经常要帮人处理应急响应的人来说，这点太重要了——有些客户服务器根本不让连外网。

它的核心能力是Webshell检测。什么叫Webshell？就是攻击者上传到服务器上的一段恶意代码，用来远程控制网站。常见的像一句话木马<?php @eval($_POST['cmd']);?>，或者各种加密变形的版本。D盾的查杀引擎做了多层特征匹配，不光是正则匹配关键字，还会分析代码的调用链、变量传递方式、以及一些危险函数的组合模式。我试过用它扫一个经过多次base64编码和异或加密的PHP马，照样被识别出来。当然，误报也有，比如某些正常的CMS后台文件会被标黄，但这种情况不多，而且它给了详细的危险等级和代码位置，人工复核很快。

除了查杀，D盾还带了一些实用的小功能。比如“端口查看”能列出当前服务器上所有监听的端口和对应的进程，有时候攻击者会留个后门端口，这个功能一开就能看到异常。“进程管理”可以强制结束可疑进程，甚至能查看进程加载的模块。还有“账号查看”，能发现攻击者添加的隐藏管理员账号。这些功能单独拎出来都有替代品，但集成在一个不到2MB的工具里，应急的时候确实省事。

不过它也不是没缺点。界面用的是老式Windows风格，按钮密密麻麻，第一次用的人可能会觉得乱。扫描大目录时速度一般，尤其是那种几十万文件的站点，得等一会儿。另外它主要针对Windows服务器环境，Linux下虽然也能用wine跑，但体验差很多。作者更新频率不算高，最近几年版本变化不大，但核心查杀规则一直在小版本里悄悄更新，这点挺良心。

我自己的用法是：拿到一台疑似被黑的服务器，先上D盾全盘扫一遍，重点看wwwroot、upload、temp这些目录。扫出来的可疑文件不要急着删，先看代码，确认是马之后再隔离。有时候攻击者会留多个后门，D盾能帮你把大部分都翻出来，剩下的靠经验补。它不能替代代码审计，也不能防入侵，但作为事后排查的第一把刀，足够快、足够准。

如果你是个站长安服，或者做应急响应，D盾值得放在工具箱里。它不花哨，不联网，不弹广告，打开就能干活。这种工具现在不多了。