php2shellで攻撃されたら、ログに何が残る？　サーバー管理者向けの見つけ方とcronの見回りスクリプト

# POST で 500 を返したリクエスト
grep -h '"POST ' /var/log/nginx/access.log* | awk '$9==500' | less
# IPごとに数える
grep -h '"POST ' /var/log/nginx/access.log* | awk '$9==500{print $1}' | sort | uniq -c | sort -rn | head

# メモリ上限のエラー
grep -h "Allowed memory size of" /var/log/php*/*error*.log /var/log/nginx/error.log*
# php-fpm のワーカーが落ちた跡
grep -h "exited on signal" /var/log/php*-fpm.log*

# php-fpm や Apache の子として、シェルなどが動いていないか
ps -ef --forest | grep -A3 -E "php-fpm|apache2|httpd"
# 10/17 以降に増えた PHP ファイル（Webシェル）
find /var/www /tmp /var/tmp -newermt "2026-10-17" -type f \( -name "*.php" -o -name "*.phtml" \) -ls
# Web サーバーのユーザーの cron
crontab -l -u www-data

apachectl -M 2>/dev/null | grep -i php     # php_module などが出れば mod_php

grep -h "exit signal Segmentation fault" /var/log/apache2/error.log* /var/log/httpd/error_log*
# ふだん GET しか来ない .php に POST → 500 が来ていないか
grep -h '"POST ' /var/log/apache2/access.log* | awk '$9==500{print $7}' | sort | uniq -c | sort -rn | head -20

# mod_logio が必要（%I = 受け取ったバイト数）
LogFormat "%h %l %u %t \"%r\" %>s %O %I \"%{Content-Type}i\" \"%{Cookie}i\" \"%{Set-Cookie}o\" %D" php2shell
CustomLog ${APACHE_LOG_DIR}/php2shell.log php2shell

#!/bin/bash
# /usr/local/sbin/php2shell-watch.sh — php2shell の跡を見回る（見つかったときだけ出力）
set -u
STATE=/var/lib/php2shell-watch; mkdir -p "$STATE"
ERRLOG=/var/log/apache2/error.log        # RHEL系は /var/log/httpd/error_log
ACCLOG=/var/log/apache2/access.log       # RHEL系は /var/log/httpd/access_log
WEBROOT=/var/www
WEBUSER=www-data                         # RHEL系は apache
POST500_MAX=20                           # 1回の見回りで、これを超えたら知らせる

# 前回の続きから、増えた行だけを出す（ログが回されて小さくなったら最初から）
new_lines() {
  local f=$1 key; key=$STATE/$(echo "$f" | tr / _).pos
  [ -f "$f" ] || return
  local size prev; size=$(stat -c %s "$f"); prev=$(cat "$key" 2>/dev/null || echo 0)
  [ "$size" -lt "$prev" ] && prev=0
  tail -c +$((prev + 1)) "$f" | head -c $((size - prev))
  echo "$size" > "$key"
}

# 1. エラーログ：メモリ上限のエラーと、ワーカーのクラッシュ
ERR=$(new_lines "$ERRLOG" | grep -E "Allowed memory size of|exit signal Segmentation fault|exited on signal")
[ -n "$ERR" ] && { echo "== エラーログ（メモリ上限・クラッシュ）"; echo "$ERR" | tail -20; }

# 2. アクセスログ：POST で 500 が急に増えていないか
P500=$(new_lines "$ACCLOG" | awk '$6=="\"POST" && $9==500')
N=$(printf "%s" "$P500" | grep -c . || true)
[ "$N" -gt "$POST500_MAX" ] && { echo "== POST→500 が ${N} 件"; echo "$P500" | awk '{print $1, $7}' | sort | uniq -c | sort -rn | head; }

# 3. 前回の見回りのあとに増えた・変わった PHP ファイル
STAMP=$STATE/last_run
if [ -f "$STAMP" ]; then
  NEW=$(find "$WEBROOT" /tmp /var/tmp -newer "$STAMP" -type f \( -name "*.php" -o -name "*.phtml" -o -name "*.phar" \) 2>/dev/null)
  [ -n "$NEW" ] && { echo "== 新しい・変わった PHP ファイル"; echo "$NEW"; }
fi
touch "$STAMP"

# 4. Apache の子として動いているシェルやダウンロードのコマンド
SH=$(ps -eo pid,ppid,user,comm,args --no-headers | awk -v u="$WEBUSER" '$3==u && $4 ~ /^(sh|bash|dash|curl|wget|nc|ncat|python[0-9.]*|perl|socat)$/')
[ -n "$SH" ] && { echo "== $WEBUSER が動かしている不審なプロセス"; echo "$SH"; }

# 5. Web サーバーのユーザーの crontab が変わっていないか
CRON=$(crontab -l -u "$WEBUSER" 2>/dev/null | sha256sum)
[ -f "$STATE/cron.sum" ] && [ "$CRON" != "$(cat "$STATE/cron.sum")" ] && echo "== $WEBUSER の crontab が変わった"
echo "$CRON" > "$STATE/cron.sum"

sudo install -m 700 php2shell-watch.sh /usr/local/sbin/
sudo crontab -e
# 以下を足す
MAILTO=you@example.com
*/5 * * * * /usr/local/sbin/php2shell-watch.sh

# UID は id -u www-data で確認
sudo auditctl -a always,exit -F arch=b64 -S execve -F uid=33 -k php2shell
sudo ausearch -k php2shell --start today