Script de recherche de backdoor

#!/bin/bash
# Auteur: Tlams
# Utilisation: search.sh /var/www/
# Version : 1
# Fonction: Script de recherche de backdoor


echo "Passe 1"
# 1er  -> Detection des fonctions classiques non proteges
# 2eme -> Detection des Hex
# 3eme -> Detections de certains mots et fonctions non proteges
# 4eme -> Detection des caracteres chinois...


egrep -r -i --include="*.php" -e '(eval\((base64|$\_|gzinflate))' -e '(preg_replace\(\".*\"\,\"(\\x[0-9]{2}){2})' -e '\$[a-z]\(\$\_'  -e '(Zero-X|^system\()|[B|b]ackdoor' -e '[一-十]'  $i | awk -F: '{print "Fichier suspect trouvé: "$1}' | uniq

echo "--------------"

# Permer de detecter les fichers ayant plus des 5000 caracteres sur une meme ligne (souvent signe)
echo "Passe 2"
for i in $(find $1 -name \*.php); do
        awk -v file="$i" '{ if (length($0) > 5000) print "Fichier suspect trouvé: "file }' $i | uniq
done

echo "--------------"

# Recherche des fichiers non commum (.sh .bash .pl...)
echo "Passe 3"
find . -name \*.sh -o -name \*.pl -o -name \*.bin -o -name \*.bash | awk -F: '{print "Fichier suspect trouvé: "$1}' | uniq