---

## 1. 简介

LMD 的架构、检测阶段与受支持的平台。

Linux Malware Detect（LMD）是一款依据 GNU GPLv2 许可证发布的 Linux 恶意软件扫描器，设计上针对共享托管环境中面临的威胁。它利用网络边缘入侵检测系统的威胁数据，提取攻击中实际使用的恶意软件并生成检测签名。此外，威胁数据还来自用户通过 LMD 的 checkout 功能提交的样本以及恶意软件社区资源。

LMD 专注于传统防病毒产品经常漏报的恶意软件类别：PHP 木马（Shell）、JavaScript 注入器、base64 编码的后门、IRC 机器人，以及其他针对共享托管用户账户而非操作系统内部的 Web 应用层威胁。

**检测阶段**
- MD5 文件哈希匹配，用于精确定位威胁
- 通过带有并行工作进程的原生批量 grep 引擎进行 HEX 模式匹配
- 复合签名（csig）扫描：支持多模式布尔逻辑（AND/OR/阈值）、不区分大小写匹配、宽字符（UTF-16LE）匹配以及有界间隔通配符
- 原生 YARA 规则扫描，支持完整模块和自定义规则
- 统计字符串长度分析，用于检测混淆威胁（base64、gzinflate）
- ClamAV 集成，配合 LMD 维护的 ClamAV 签名提供扩展覆盖

**扫描与监控**
- 扫描所有文件、最近修改的文件或列表中的文件
- 通过内核 inotify 实现实时文件监控（创建/修改/移动事件）
- 通过 ModSecurity2 `inspectFile` 钩子对 HTTP 上传进行扫描
- 后台扫描，适用于无人值守的大规模操作
- 每次扫描可使用包含/排除正则表达式过滤

**隔离与响应**
- 隔离队列，以零权限方式存储文件
- 按扫描 ID 批量隔离/恢复
- 针对特定签名的清理规则，用于移除恶意软件
- 完整文件恢复（内容、属主、权限、mtime）

**告警与报告**
- HTML + 文本电子邮件告警，采用统一的 rfxn 设计（青色品牌、卡片条目）
- SMTP 中继支持（TLS/SSL），适用于没有本地 MTA 的环境
- Slack Block Kit、Telegram MarkdownV2、Discord embed 的逐条目告警
- 可通过 `alert/custom.d/` 覆盖自定义告警模板
- 扫描报告包含每个文件的命中详情，并按命中类型彩色标识

**基础设施**
- 自动链接 ClamAV 签名，实现双引擎覆盖
- 每日 cron 作业，自动检测 12 种以上托管控制面板
- CPU/IO 资源控制（nice、ionice、cpulimit）
- 签名与版本自动更新
- 支持 systemd 服务单元和 SysV init 脚本

### 受支持的平台

LMD 可在任何装有 bash 和标准 GNU 工具的 Linux 发行版上运行。已测试的平台：

| 平台 | 初始化系统 | 包配置路径 |
|----------|-------------|---------------------|
| RHEL / Rocky / AlmaLinux 8, 9, 10 | systemd | `/etc/sysconfig/maldet` |
| CentOS 6, 7 | SysV / systemd | `/etc/sysconfig/maldet` |
| Debian 10, 11, 12 | systemd | `/etc/default/maldet` |
| Ubuntu 20.04, 22.04, 24.04 | systemd | `/etc/default/maldet` |
| Gentoo | OpenRC | — |
| Slackware | SysV | — |
| FreeBSD | — | — (部分支持；不支持 inotify) |

---

## 2. 安装

在系统上安装、升级和移除 LMD。

附带的 `install.sh` 脚本处理所有安装任务。之前的安装会被自动备份。```bash
./install.sh

### 3.1 通用选项

| 变量 | 用途 | 默认值 |
|----------|---------|---------|
| `autoupdate_signatures` | 通过 cron 每日自动更新签名 | `1` |
| `autoupdate_version` | 通过 cron 每日自动更新 LMD 版本 | `1` |
| `autoupdate_version_hashed` | 对照上游校验 LMD 可执行文件的 SHA-256 哈希（若不可用则回退到 MD5） | `1` |
| `sigup_interval` | 通过独立 cron 任务（`/etc/cron.d/maldet-sigup`）进行自动签名更新检查的间隔小时数；0 = 禁用 | `6` |
| `cron_prune_days` | 隔离区/会话/临时数据的保留天数 | `21` |
| `cron_daily_scan` | 通过 cron 启用每日自动扫描 | `1` |
| `scan_days` | 每日 cron 扫描中回溯查找已修改文件的天数 | `1` |
| `import_config_url` | 下载远程配置覆盖项的 URL | — |
| `import_config_expire` | 导入配置的缓存过期时间（秒） | `43200` |
| `sig_import_md5_url` | 下载自定义 MD5 签名的 URL | — |
| `sig_import_hex_url` | 下载自定义 HEX 签名的 URL | — |
| `sig_import_yara_url` | 下载自定义 YARA 规则的 URL | — |
| `sig_import_sha256_url` | 下载自定义 SHA-256 签名的 URL | — |
| `sig_import_csig_url` | 下载自定义复合签名的 URL | — |
| `session_legacy_compat` | 在生成 TSV 会话文件的同时生成旧版纯文本会话文件：`auto`（检测旧格式会话）、`1`（始终生成）、`0`（仅 TSV） | `auto` |

### 3.2 告警

| 变量 | 用途 | 默认值 |
|----------|---------|---------|
| `email_alert` | 扫描后启用电子邮件告警 | `0` |
| `email_addr` | 告警收件人地址 | `[email protected]` |
| `email_subj` | 邮件主题行模板 | `maldet alert from $(hostname)` |
| `email_ignore_clean` | 当所有命中均被清理时抑制告警 | `1` |
| `email_panel_user_alerts` | 命中检测时向面板用户发送告警 | `0` |
| `email_panel_from` | 面板用户告警的 From 头 | `[email protected]` |
| `email_panel_replyto` | 面板用户告警的 Reply-To 头 | `[email protected]` |
| `email_panel_alert_subj` | 面板用户告警的主题行 | `maldet alert from $(hostname)` |
| `email_format` | 邮件格式：`text`、`html` 或 `both` | `html` |
| `smtp_relay` | SMTP 中继 URL（例如 `smtps://smtp.gmail.com:465`） | — |
| `smtp_from` | SMTP 中继投递的发件人地址 | — |
| `smtp_user` | SMTP 认证用户名 | — |
| `smtp_pass` | SMTP 认证密码 | — |
| `slack_alert` | 启用 Slack 文件上传告警 | `0` |
| `slack_subj` | Slack 上传的文件名 | `maldet alert from $(hostname)` |
| `slack_token` | Slack Bot API 令牌（作用域：`files:write`、`files:read`） | — |
| `slack_channels` | 以逗号分隔的频道名称或 ID 列表 | `maldetreports` |
| `telegram_alert` | 启用 Telegram 告警 | `0` |
| `telegram_bot_token` | Telegram Bot API 令牌 | — |
| `telegram_channel_id` | Telegram 聊天或群组 ID | — |
| `discord_alert` | 启用 Discord Webhook 告警 | `0` |
| `discord_webhook_url` | 用于发送告警的 Discord Webhook URL | — |

### 3.3 扫描选项

| 变量 | 用途 | 默认值 |
|----------|---------|---------|
| `scan_hashtype` | 阶段 1 的哈希算法：`auto`、`sha256`、`md5`、`both` | `auto` |
| `scan_max_depth` | find 的最大目录深度 | `15` |
| `scan_min_filesize` | 可扫描文件的最小大小 | `24` 字节 |
| `scan_max_filesize` | 可扫描文件的最大大小 | `2048k` |
| `scan_hexdepth` | HEX 签名匹配的字节深度 | `262144` |
| `scan_hex_chunk_size` | HEX+CSIG 扫描中每个微批处理包含的文件数（范围：1024-20480） | `10240` |
| `scan_csig` | 启用复合签名（csig）扫描（仅限原生模式） | `1` |
| `scan_workers` | MD5、SHA-256、HEX 和 CSIG 扫描阶段使用的并行工作进程数 | `auto` |
| `scan_cpunice` | 扫描进程的 nice 优先级（-19 到 19） | `19` |
| `scan_ionice` | IO 调度类别优先级（0-7） | `6` |
| `scan_cpulimit` | CPU 硬性限制百分比（0=禁用） | `0` |
| `scan_ignore_root` | 扫描时跳过 root 拥有的文件（默认不适用于监控模式；参见 `monitor_scan_owner_filters`） | `1` |
| `scan_ignore_user` | 跳过特定用户拥有的文件 | — |
| `scan_ignore_group` | 跳过特定组拥有的文件 | — |
| `scan_user_access` | 允许非 root 用户运行扫描 | `0` |
| `scan_user_access_minuid` | 用于创建 --mkpubpaths 用户目录的最小 UID | `100` |
| `scan_find_timeout` | find 文件列表生成的超时时间（0=禁用，最小 60 秒，建议 14400=4 小时） | `0` |
| `scan_export_filelist` | 将 find 结果保存到 tmp/find_results.last | `0` |
| `scan_tmpdir_paths` | -a/-r 扫描中包含的全局可写临时路径 | `/tmp /var/tmp /dev/shm /var/fcgi_ipc` |
| `string_length_scan` | 启用统计字符串长度分析 | `0` |
| `string_length` | 可疑字符串的最小长度 | `150000` |
| `scan_progress_log_interval` | 后台扫描期间进度日志检查点之间的秒数（0=禁用） | `60` |
| `scan_meta_cleanup_age` | 保留已完成/已终止扫描元数据文件的小时数（0=禁用） | `48` |
| `maint_compress_age` | 完成的会话文件在多少天后被 gzip 压缩（0=禁用） | `30` |
| `maint_archive_age` | 压缩后的会话在多少天后被归入每月存档（0=禁用） | `90` |

### 3.4 YARA 扫描

原生 YARA 扫描独立于 ClamAV 调用 `yara` 二进制文件（或 YARA-X 中的 `yr`），支持完整的 YARA 模块、编译规则以及 ClamAV 受限 YARA 子集无法处理的自定义规则文件。当两者都可用时，优先使用 `yr`（YARA-X）。当设置为 `auto` 时，仅在 ClamAV 不可用且找到 yara/yr 二进制文件时才启用原生 YARA，从而避免重复的规则评估。

| 变量 | 用途 | 默认值 |
|----------|---------|---------|
| `scan_yara` | 启用原生 YARA 扫描阶段：`auto`（检测二进制文件，回退到 ClamAV）、`0`（禁用）、`1`（启用） | `auto` |
| `scan_yara_timeout` | 超时时间（秒）（0=无超时） | `300` |
| `scan_yara_scope` | 当 ClamAV 同时启用时的规则范围：`all`（完整原生扫描）或 `custom`（仅原生扫描自定义规则，ClamAV 处理 rfxn.yara） | `custom` |
| `sig_import_yara_url` | 在签名更新时下载自定义 YARA 规则的 URL | — |

**自定义 YARA 规则**可以放在以下两个位置，两者在升级时都会保留：
- `sigs/custom.yara` — 单文件规则
- `sigs/custom.yara.d/` — 用于存放 `.yar` 和 `.yara` 规则文件的 drop-in 目录

兼容第三方规则集，例如 [YARA Forge](https://yarahq.github.io/) 和 [Signature Base](https://github.com/Neo23x0/signature-base)。也支持通过 `sigs/compiled.yarc` 使用编译后的规则（`yarac` 输出）。

**批量扫描：** YARA 4.0+ 及所有 YARA-X 版本使用 `--scan-list` 进行高效的批量文件扫描。旧版 YARA 会自动回退到逐文件扫描。

无需编辑配置即可在运行时启用：```bash
maldet -co scan_yara=1 -a /home/?/public_html

### 4.1 退出代码

| 代码 | 含义 |
|------|---------|
| `0` | 成功，未发现恶意软件命中 |
| `1` | 错误或所有扫描路径不存在 |
| `2` | 发现恶意软件命中 |

**示例：**```bash
# Scan all files under user web roots
maldet -a /home/?/public_html

# Scan recent files with auto-quarantine and YARA enabled
maldet -co quarantine_hits=1,scan_yara=1 -r /home/?/public_html 2

# Background scan with email alert to specific address
maldet -b -co [email protected] -a /var/www

# View the most recent scan report
maldet -e

# Email a specific report
maldet --mailto [email protected] -e 050910-1534.21135

# Output scan report as JSON (pipe to jq for formatting)
maldet --format json -e 050910-1534.21135

# List all reports as JSON
maldet --format json -e list

# Shorthand JSON output (equivalent to --format json -e)
maldet --json-report 050910-1534.21135

# Restore all quarantined files from a scan
maldet -s 050910-1534.21135

**检查点恢复：** `--stop` 写入一个检查点文件，记录扫描阶段、命中
计数、配置选项和每个工作进程的进度。`--continue` 验证检查点，
如果签名发生变化则发出警告，根据当前文件系统状态重建文件列表，恢复
先前的命中，并从中断的阶段恢复扫描。HEX 工作进程以
块粒度恢复（每个工作进程损失约 30 秒的工作量）。

**引擎支持：** 原生引擎（HEX/CSIG/hash 工作进程）和独立的 `clamscan`
支持所有生命周期操作。基于守护进程的 ClamAV（`clamdscan`/`clamd`）仅支持
`--kill` — `--pause` 和 `--stop` 会被拒绝并返回错误消息，因为
守护进程的 I/O 状态是不透明的，且与其他客户端共享。

---

## 5. 忽略选项

从扫描和监控中排除路径、文件类型和签名。

四个忽略文件控制从扫描中排除的内容：

| 文件 | 格式 | 用途 |
|------|--------|---------|
| `ignore_paths` | 换行分隔的路径 | 从扫描中排除目录或文件 |
| `ignore_file_ext` | 换行分隔的扩展名 | 排除文件扩展名（`.js`、`.css`） |
| `ignore_sigs` | 换行分隔的模式 | 跳过匹配的签名（正则表达式、子字符串匹配） |
| `ignore_inotify` | 换行分隔的文本路径 | 排除 inotify 监控事件 |

所有忽略文件都位于 `/usr/local/maldetect/` 目录下。

**示例：**```
# ignore_paths
/home/user/public_html/cgi-bin

# ignore_file_ext
.js
.css

# ignore_sigs
base64.inject.unclassed

# ignore_inotify (user-owned — your additions only)
/home/user/public_html/cache/
backup-

# ignore_inotify.defaults (LMD-managed — refreshed on every upgrade)
# Ships under /usr/local/maldetect/internals/ with curated defaults
# for systemd-private tmpdirs, MariaDB temp tables, Redis, ClamAV, etc.
# Do NOT edit — add your own entries to ignore_inotify instead.

**工作原理：**

`maldet -m` 默认在前台运行一个监督进程。该监督进程管理一个 `inotifywait` 子进程，并处理崩溃恢复、配置重载和摘要告警。使用 `-b` 可将监督进程后台化并立即返回。

1. `monitor_init()` 在受监控路径下的所有文件上设置 inotify 监视
2. 文件事件会排队，并每隔 `inotify_sleep` 秒（默认：15）进行批量扫描
3. 配置每隔 `inotify_reloadtime` 秒（默认：3600）重载一次
4. 内核的 `max_user_watches` 和 `max_user_instances` 会自动调优以获得最佳性能
5. 如果 `inotifywait` 崩溃，监督进程会以指数退避（2、4、8、16、32 秒）将其重启；连续失败 3 次后，监督进程退出

**摘要告警**会按照 `digest_interval` 设置的间隔（默认：`24h`）定期发送。如果自上次摘要以来的命中数超过 `digest_escalate_hits`，则会立即发送升级告警（默认：`0`，即禁用）。

**附加路径：** 如需在不编辑 `conf.maldet` 的情况下监控更多路径，可将其逐行添加到 `monitor_paths_extra` 所引用的文件（默认：`/usr/local/maldetect/monitor_paths.extra`）中。每次配置重载时，这些路径都会与主监控列表合并。

使用 `users` 模式时，仅监控与 `inotify_docroot`（默认：`public_html,public_ftp`）匹配的子目录，以及系统临时目录 `/tmp`、`/var/tmp` 和 `/dev/shm`。

**忽略文件（inotify）：** 监控排除规则为两个文件的并集——用户所有的 `/usr/local/maldetect/ignore_inotify` 和 LMD 管理的 `/usr/local/maldetect/internals/ignore_inotify.defaults`。两者均以换行分隔，支持 `#` 注释和空行。用户所有的 `ignore_inotify` 默认接受 POSIX ERE（扩展正则表达式）——锚点（`^`、`$`）和通配符（`.*`、`.+`）均有效。若要排除包含正则表达式元字符的字面路径，请在该条目前面加上 `literal:` 前缀（例如 `literal:/tmp/app.cache`）。LMD 管理的 `ignore_inotify.defaults` 按字面子串处理——其精选条目在加载时会被自动转义。该默认文件在每次 LMD 升级时都会被覆盖；站点特定的排除规则只能添加到 `ignore_inotify`。

---

## 8. 签名系统

签名类型、命名约定、更新及自定义规则文件。

LMD 随附五种签名类型：

| 类型 | 文件 | 格式 | 数量 |
|------|------|--------|-------|
| MD5 哈希 | `sigs/md5v2.dat` | `HASH:SIZE:{MD5}sig.name.N` | ~14,801 |
| SHA-256 哈希 | `sigs/sha256v2.dat` | `HASH:SIZE:{SHA256}sig.name.N` | CDN |
| HEX 模式 | `sigs/hex.dat` | `HEXSTRING:{HEX}sig.name.N` | ~2,054 |
| 复合签名 | `sigs/csig.dat` | `SUBSIG1\|\|SUBSIG2:signame` | CDN |
| YARA 规则 | `sigs/rfxn.yara` | YARA 语法 | ~783 条规则 |
| 编译后的 YARA | `sigs/compiled.yarc` | `yarac` 输出 | 可选 |

同时维护与 ClamAV 兼容的签名：
- `sigs/rfxn.hdb` — ClamAV MD5 格式
- `sigs/rfxn.ndb` — ClamAV HEX 格式
- `sigs/rfxn.hsb` — ClamAV SHA-256 格式（需要 ClamAV >= 0.97）

**签名命名约定：** `{TYPE}category.name.variant_number`

类别包括：`bin.`（二进制）、`c.`（C 语言）、`exp.`（漏洞利用）、`php.`（PHP）、`js.`（JavaScript）、`perl.`（Perl）、`html.`（网络钓鱼）、`base64.inject.`、`gzbase64.`

**扫描报告中的命中前缀：**

| 前缀 | 来源 |
|--------|--------|
| `{MD5}` | MD5 哈希匹配（阶段 1） |
| `{SHA256}` | SHA-256 哈希匹配（阶段 1） |
| `{HEX}` | HEX 模式匹配（阶段 2） |
| `{CSIG}` | 复合签名匹配（阶段 2.5） |
| `{SA}` | 统计分析（字符串长度） |
| `{YARA}` | 原生 YARA 扫描（`scan_yara=1`） |
| `{CAV}` | ClamAV 引擎（clamd/clamscan） |

### 8.1 签名更新

签名通过 cron 作业每日更新，也可手动更新：```bash
maldet -u            # update signatures
maldet -u --force    # force update even if current

**隔离文件命名：** `FILENAME.INODE`（例如 `config.php.23754`）

对于非 root 扫描（例如 ModSecurity2 上传扫描），隔离数据存储于 `/usr/local/maldetect/pub/USERNAME/quar/`。使用 `-U` 标志与非 root 隔离进行交互：```bash
maldet -U nobody -s 112012-0032.13771

恶意上传将以 deny 操作被拒绝，并记录到 ModSecurity 审计日志中。无需提供模式参数 —— `hookscan.sh` 默认使用 ModSecurity 模式以实现向后兼容。ModSecurity v2 和 v3（libmodsecurity）均使用相同的 `popen()` 契约。

### 10.2 pure-ftpd```bash
# pure-ftpd.conf (or command-line flags):
CallUploadScript yes

# Start the upload-script daemon:
pure-uploadscript -r /usr/local/maldetect/hookscan.sh -B

三个以冒号分隔的字段分别是：命令模板、触发正则表达式和名称捕获正则表达式。检测到恶意软件时，Exim 会使用捕获的签名名称拒绝该消息。

### 10.5 通用 API

用于自定义集成、批量扫描和第三方使用：```bash
# Single file scan
hookscan.sh generic /path/to/file
# Exit: 0 = clean, 1 = error, 2 = infected
# Stdout: CLEAN: /path, INFECTED: signame /path, ERROR: reason

# Batch scan from a file list
hookscan.sh generic --list /tmp/filelist.txt

# Batch scan from stdin
find /uploads -newer /tmp/marker -type f | hookscan.sh generic --stdin

测试警报使用真实渲染管道处理合成数据。主题行以 `[TEST]` 为前缀。通道隔离确保只有指定的通道触发。

### 10.8 Hook 摘要

Hook 检测通过周期性摘要警报进行汇总：```bash
# On-demand digest (reads all sources: monitor + hooks)
maldet --digest

# View hook scan activity
maldet --report hooks                    # last 24 hours
maldet --report hooks --last 7d          # last 7 days
maldet --report hooks --mode modsec      # filter by mode

请参阅 `man maldet`(1) 以了解 v1.2 JSON 模式（在 `-e SCANID` 和 `-e list` 两种用法下均采用统一的 `{schema_version, scanner, host, reports[]}` 结构）。

### 托管控制面板检测

每日 cron 任务会自动检测 12 种以上的托管控制面板并调整扫描路径。完整的面板矩阵请参见 [6. Cron Daily](#6-cron-daily)。

---

## 许可证

LMD 由 Ryan MacDonald [[email protected]] 以志愿方式开发和支持。

Linux Malware Detect (LMD) 在 GNU 通用公共许可证 (GPL) v2 下分发，对使用或再分发没有任何限制。版权声明和 GNU GPL 包含在 `COPYING.GPL` 文件中。根据 GNU GPL 的要求，衍生作品必须注明出处。

---

## 支持

LMD 源代码仓库位于：https://github.com/rfxn/linux-malware-detect

Bug、功能请求和一般问题可以提交为 GitHub issue，或发送至 [email protected]。

官方项目页面位于：https://www.rfxn.com/projects/linux-malware-detect/