Linux 河马（Hema）Webshell 查杀实战教程

适用系统：Linux（CentOS / Ubuntu / Rocky 等）
工具版本：hm-linux-amd64 1.7.0+
适用场景：入侵应急排查、日常安全巡检、Webshell 后门检测

一、工具简介

河马 WebShell 查杀工具（简称"河马"）是一款跨平台的 WebShell 检测工具，具有以下特点：

• ✅ 多语言支持：PHP、ASP、ASPX、JSP、Python 等
• ✅ 多种检测引擎：静态特征 + 语义分析 + 云端检测
• ✅ 低误报率：相比传统正则匹配，准确率更高
• ✅ 命令行友好：适合服务器环境批量扫描
• ✅ 结果可导出：CSV 格式方便后续分析

官方下载地址：http://dl.shellpub.com/hm/latest/hm-linux-amd64.tgz

二、安装部署

2.1 下载工具

# 进入工具存放目录
cd /opt/

# 下载河马 Linux 64位版本
wget -O hm-linux.tgz http://dl.shellpub.com/hm/latest/hm-linux-amd64.tgz?version=1.7.0

2.2 解压

tar xvf hm-linux.tgz

解压后会得到可执行文件 hm。

2.3 赋予执行权限

chmod +x ./hm

2.4 验证安装

# 查看帮助
./hm -h

# 查看版本
./hm version

正常输出类似：

Hema WebShell Scanner v1.7.0
Usage: hm [command] [options]

Commands:
  scan <path>    扫描指定目录
  update         更新特征库
  version        查看版本信息
  help           显示帮助

三、更新特征库

建议每次扫描前先更新特征库，确保检出率：

./hm update

输出示例：

[*] 正在检查更新...
[*] 当前版本: v1.7.0
[*] 特征库已是最新版本

四、执行扫描

4.1 扫描指定目录

# 扫描单个目录
./hm scan /var/www/html/

# 扫描多个目录
./hm scan /var/www/html/ /var/www/upload/

# 扫描用户目录
./hm scan /root/virus/

4.2 扫描整个系统（慎用）

# 全盘扫描（