在如今的网络世界中，WebShell攻击是一种常见的黑客攻击手段，而Linux系统作为最流行的服务器操作系统之一，更是常被攻击者盯上。一旦被WebShell攻击，黑客可以通过上传恶意代码，控制服务器执行恶意操作，进而窃取、篡改、破坏或删除文件等重要信息。因此，保护Linux系统免受WebShell攻击的影响至关重要。
那么，当我们发现Linux系统被WebShell攻击后，应该采取哪些措施呢？下面我们就来一一探讨。
1.立即停止服务并隔离系统
当你发现Linux系统被WebShell攻击时，首先要做的就是立即停止相关服务，比如Apache、Nginx等，以防止攻击者继续上传、下载、编辑恶意文件。同时，需要隔离该系统，防止攻击者从其他服务器入侵到本服务器。可以通过关闭服务器IP的访问，或者修改安全组策略等方式来进行隔离。
2.检查WebShell文件
查找并删除WebShell文件是解决WebShell攻击的关键，需要尽快完成。通常情况下，WebShell文件都是以.php、.asp、.aspx等脚本文件形式存在，并存放在网站的根目录、上传文件夹、编辑器插件程序等处。你可以通过以下命令来查找WebShell文件：
```
grep -rn "eval(" /var/www/html
```
该命令会寻找/var/www/html目录下出现过“eval(”字符的行，并输出相关信息，如WebShell文件名、所在行数等。一旦找到WebShell文件，需要马上删除它们。
3.检查系统安全漏洞
当Linux系统被WebShell攻击时，很可能是由于系统存在某些漏洞而遭到攻击。因此，检查系统安全漏洞也是解决WebShell攻击的重要步骤。你可以通过以下命令来检查系统安全漏洞：
```
yum update
```
该命令可以更新系统所有软件包，包括内核、Apache、PHP等。同时，你还可以使用一些安全检查工具，例如nmap、OpenVAS等，来发现系统中还存在哪些漏洞。
4.修改密码并备份数据
为了避免以后再次遭受WebShell攻击，你需要尽快修改系统的登录密码，确保密码强度足够高。同时，你需要备份系统数据，以便在必要时进行恢复。可以使用rsync、scp等命令将数据备份到其他服务器或云存储上。
总之，Linux系统被WebShell攻击后，需要快速采取行动，避免对系统造成更多损害。我们可以从立即停止服务、检查WebShell文件、检查系统安全漏洞、修改密码并备份数据等方面入手，确保系统的安全性和稳定性。
