如何用linux strings查木马

在 Linux 里，strings 本身不能直接“查木马”，它只是把二进制文件里的可打印字符串提取出来，方便你人工分析可疑行为。真正的“查木马”通常是：

strings + 经验 + 其他工具配合

下面给你一套实用思路和命令。

一、什么时候用 strings

适合查：

• 未知 ELF 木马 / 后门
• 挖矿程序
• 反弹 shell 脚本
• 可疑服务、定时任务

不适合：

• 已加密 / 加壳严重的样本（字符串很少）
• 高级无文件攻击

二、基础用法

strings 文件名

只看前 1000 行：

strings 文件名 | head -n 1000

只看长度 ≥ 8 的字符串（更干净）：

strings -n 8 文件名

三、重点搜什么（关键）

1️⃣ 反弹 shell / 远程控制

strings 文件 | grep -Ei "bash|/bin/sh|nc|reverse|connect|socket"

常见特征：

• /bin/sh
• bash -i
• exec
• socket
• connect(
• IP 地址

2️⃣ 可疑 IP / 域名

strings 文件 | grep -E "([0-9]{1,3}\.){3}[0-9]{1,3}"
strings 文件 | grep -Ei "\.com|\.cn|\.net|http"

⚠️ 注意：

• 很多正常程序也有 IP
• 重点看 不常见 / 境外 IP

3️⃣ 提权 / Root 相关

strings 文件 | grep -Ei "setuid|setgid|root|/etc/passwd|/etc/shadow"

4️⃣ 挖矿特征

strings 文件 | grep -Ei "miner|pool|xmr|stratum|cpu"

常见：

• stratum+tcp://
• xmr
• 矿池地址

5️⃣ 自启动 / persistence

strings 文件 | grep -Ei "crontab|systemd|rc.local|/etc/init"

四、实战小流程（推荐）

file 可疑文件
strings -n 8 可疑文件 > str.txt
grep -Ei "http|ip|sh|bash|socket|miner" str.txt

配合：

ls -l 可疑文件
stat 可疑文件

五、进阶（更靠谱）

strings 只是第一步，真正查木马建议配合：

• file 看文件类型
• ldd 看依赖
• strace 看行为
• rkhunter / chkrootkit
• 沙箱（如 ANY.RUN、微步）

六、一句话总结

strings 不是杀毒软件，是“放大镜”
用它在二进制里找人话痕迹，再判断是不是木马。

如果你愿意，可以把：

• 文件路径
• strings 输出片段 发出来，我可以帮你具体分析是不是木马。