在公网跑了一台CentOS 7服务器到底要不要装杀毒软件过去很多运维会条件反射地说“Linux不需要”但如果你在这台机器上挂着SMB共享、跑着FTP传输、收着邮件附件、存过被Windows感染的压缩包这句话迟早会让你付出代价。Linux本身不太容易被双击运行型的木马搞瘫但它非常容易成为病毒文件的“中转站”和“培养皿”。ClamAV就是解决这个问题的免费开源杀毒软件下面是我在一台CentOS 7上从零安装、配置、定时扫描、以及处理各种异常的完整记录。1. 先想清楚Linux服务器上为什么要装杀毒软件1.1 什么场景下ClamAV才是刚需我见过不少服务器装了ClamAV之后一年到头扫描结果都是空的于是有人觉得“浪费资源”。这种想法错在没搞清楚杀毒软件在Linux上的定位。Linux服务器的杀毒需求不是保护本地程序不被感染而是防范“污染文件”在服务器上持续扩散。典型场景有几种服务器给办公网提供SMB/CIFS共享Windows电脑会往里面上传下载Office文档、压缩包、脚本。服务器上有邮件网关或邮件队列进出附件要过一遍毒。服务器开了FTP或SFTP目录外部合作方经常往里丢文件。服务器是开发测试机经常有人从各种渠道下载源码包、破解工具、打补丁的压缩包。服务器上跑着网站会上传用户头像、附件这类目录也容易变成黑产投放恶意文件的入口。只要命中其中一条ClamAV就不是“可选”而是“必要”。它的核心作用是让服务器在你没注意到的时候先把恶意文件拦在传输链路的中间而不是等终端用户被感染之后再来找你。1.2 ClamAV能查什么、不能查什么ClamAV最擅长的领域是Windows平台恶意文件包括PE可执行病毒、Office宏病毒、HTML和PDF里的钓鱼脚本、常见木马特征、挖矿程序脚本等。它支持扫描的封装格式非常多zip、rar、7z、tar、jar、Office文档、PDF等都能拆开来查这一点在日常运维里很关键——因为服务器上跑的最多的其实不是Linux ELF文件而是Windows用户上传的各种附件和压缩包。不过要注意它的边界。ClamAV不是主机入侵检测系统它不做实时文件监控也不会像Windows上的杀软那样时时刻刻盯着每个进程的行为。它对Linux平台上的自动化攻击脚本、webshell的检出能力也有限真正要防Linux侧的攻击靠的是SELinux、iptables、fail2ban、rkhunter以及及时的补丁更新而不是杀毒软件本身。ClamAV负责的是“文件内容恶意体检”这个定位要清楚。1.3 免费的代价功能上限和脾气ClamAV完全免费GPL协议这是它最大的优势但也意味着它没有商业杀软的实时监控引擎、云查杀和客服支持。我实际用下来的感受是病毒库更新时间略慢高峰期新病毒入库可能比商业杀软慢几小时到一天。扫描速度一般默认单线程引擎大目录全盘扫描速度是MB/s到几十MB/s级别取决于IO和CPU。配置项非常多但你真正要改的就那几个别被吓到。误报是存在的尤其是对某些加壳脚本和破解补丁误报率比商业杀软略高。所以在生产环境里我一般建议把ClamAV定位成“文件流转环节的恶意内容过滤器”别指望它解决所有安全问题。2. 装个杀毒软件为什么有一半人卡在EPEL源2.1 CentOS 7默认源里根本没有ClamAVCentOS 7 的Base源里没有ClamAV这个包这是新手最容易踩的墙。如果你直接执行yum install -y clamav大概率会得到“No package clamav available”的报错。原因很简单——ClamAV没有进入RHEL/CentOS的默认仓库它被放在EPELExtra Packages for Enterprise Linux里。EPEL是Fedora社区维护的企业级额外包仓库里面收录了大量RHEL/CentOS默认源没有的软件包ClamAV就是其中之一。提示在CentOS 7上装ClamAV第一步不是找安装包而是先把EPEL源装好。源都没搞定后面全是白搭。2.2 两条命令把EPEL源装好最省事的方式是直接安装epel-release这个RPM包yum install -y epel-release如果服务器的网络访问国外源很吃力我建议直接改用阿里云镜像rpm -ivh https://mirrors.aliyun.com/epel/epel-release-latest-7.noarch.rpm这里要注意一个非常常见的坑epel-release包的版本必须对应系统大版本。CentOS 7就装epel-release-latest-7CentOS 8就装latest-8千万别拿错。很多人在别的教程里复制命令把8的安装包扔到7的机器上结果装完仓库不可用yum报一堆错。所以装之前先确认一下系统版本cat /etc/redhat-release我个人的习惯是装完后把EPEL源的缓存刷新一遍同时确认仓库已经生效yum clean all yum repolist在repolist输出里如果能看见“epel”这一行说明仓库已经就绪可以进入下一步了。2.3 装包时刻最常见的依赖冲突怎么处理EPEL源装好之后执行安装命令时可能会遇到依赖错误常见的有两类。第一类是系统软件包版本太旧导致依赖版本对不上比如json-c、libtool-ltdl这些基础库太老。这种情况下先把系统更新一遍再装yum update -y第二类是EPEL源的元数据缓存出了岔子导致无法找到依赖包。处理方式也简单yum clean all yum makecache如果系统里之前装过其他第三方源比如remi、webtatic依赖冲突的概率会更高因为某些第三方源里的包会和EPEL里的同名包打架。遇到这种情况优先把冲突的包从非官方源里卸载或升级到同一个版本不要强行用yum的跳过依赖选项去装否则后续运行ClamAV时会出现动态库加载失败这类更麻烦的问题。3. 安装、验证、认识那三个经常被搞混的命令3.1 一条yum命令装齐主程序与病毒库更新工具EPEL源就绪后安装其实非常简单yum install -y clamav clamav-update这两个包的作用完全不同clamav主程序包包含clamscan、libclamav引擎等扫描工具。clamav-update病毒库更新工具包包含freshclam以及默认的定时更新配置。如果你后续要用到clamd守护进程模式再加装这几个包yum install -y clamav-server clamav-server-systemd有人会疑问为什么不直接yum install clamav全家桶因为CentOS 7仓库里没有“全家桶”这种meta包每个功能都被拆成独立包按需安装更清晰。核心场景下clamav clamav-update已经够了clamd是进阶项后面第5节我会详细说要不要装。3.2 clamscan、freshclam、clamd三兄弟的分工安装完成后/usr/bin目录下会出现几个名字相近的命令新手经常搞混我直接说清楚分工命令角色典型使用方式clamscan命令行扫描器按需扫描某个目录/文件扫描结束就退出freshclam病毒库更新器从远程镜像拉取最新病毒库到/var/lib/clamavclamd守护进程扫描服务常驻内存不停的等待扫描请求clamdscanclamd的客户端把扫描请求发给clamd去执行简单类比freshclam是给弹夹补充弹药clamscan是临时拿枪打一轮clamd是哨兵24小时站岗clamdscan是让哨兵帮你打枪。3.3 装完之后的第一堂体检课确认程序能跑安装不要光看yum的提示一定要自己确认运行环境是完整的。先看版本clamscan --version如果能看到类似这样的输出说明基本可用ClamAV 0.103.x/xxxxx/Thu Jul ...同时检查一下病毒库目录是否存在ls -ld /var/lib/clamav这里有个我在生产环境里反复强调的点才装完的ClamAV病毒库目录很可能是空的此时clamscan能运行但扫描时会提示“Cant load daily.cvd”或libclamav警告数据库不存在。这种情况不是装坏了而是你还没更新病毒库。很多人卡在这一步跑到论坛问为什么扫描全都在报错其实只需要运行一次freshclam。4. freshclam病毒库配置这里卡住了90%的新手4.1 安装后第一件事改配置再更新刚装完的freshclam有一个反直觉的设计默认配置文件里有一行Example参数是生效的这导致你直接运行freshclam时会得到提示请先编辑/etc/freshclam.conf注释掉Example这一行再使用。所以第一步是编辑配置文件vim /etc/freshclam.conf找到文件里这行Example在第它前面加上注释符# Example然后取消以下几行的注释或者直接改成自定义内容DatabaseMirror db.CN.clamav.net DatabaseMirror database.clamav.net DatabaseDirectory /var/lib/clamav UpdateLogFile /var/log/clamav/freshclam.log LogTime yesDatabaseMirror这个参数可以填写多个freshclam会按照顺序自动选择可用的镜像源。db.CN.clamav.net是中国节点如果服务器在国内这一项能明显提升更新成功率。4.2 第一次更新病毒库的标准过程和常见结果改完配置后运行freshclam正常过程是连接镜像源、下载main.cvd和daily.cvd然后显示ClamAV update process started at ... Downloading main.cvd ... Downloading daily.cvd ... Database updated successfully.更新完成后病毒库信息会出现在/var/lib/clamavmain.cvd是主病毒库daily.cvd是每日增量库bytecode.cvd是特征码检测引擎。我在装第一台服务器时遇到过一个问题freshclam提示下载成功但clamscan --version里看到的病毒库日期还是旧的。后来发现是服务端缓存的问题过几分钟再跑一次clamscan --version就正常了。如果你也遇到类似情况别急着反复重装先等10到30分钟再看。4.3 更新太慢、一直超时的排查对策freshclam超时是非常常见的问题主要原因集中在三块网络连通性、DNS解析、镜像源拥堵。排查思路按顺序来先看日志tail -n 50 /var/log/clamav/freshclam.log如果日志里反复出现“connect to database.clamav.net failed”大概率是网络到该域名不通。此时可以换用其他镜像源在配置文件里把DatabaseMirror改为db.CN.clamav.net并添加备用镜像。如果日志报“ERROR: Cant download daily.cvd”但网络看起来正常通常是被镜像限速或连接中断。可以重试几次或者把配置里的DNSDatabaseInfo项确认还在然后让freshclam走一次完整的更新周期。注意freshclam单次更新线程很保守不要指望它能像迅雷一样同时拉几个源。先把最稳的镜像源排在第一位比堆叠一堆镜像更有效。4.4 病毒库自动更新的两条路cron还是systemd timerclamav-update这个包装好之后会在/etc/cron.d/clamav-update里放一份定时配置默认每30分钟或每小时跑一次freshclam。这是最简单可靠的自动更新方案我建议普通场景直接用它不要自己另起炉灶。用systemd timer其实也一样只是管理风格更统一。如果你有强迫症想把所有维护任务都托管给systemd可以这样先确认有clamav-freshclam的service和timersystemctl list-unit-files | grep clamav然后启动定时器systemctl enable --now clamav-freshclam.timer但要注意如果/etc/cron.d/clamav-update这个cron文件没有被注释你会同时跑两条更新链路虽然不会出什么大乱子但日志里会出现重复更新的情况。我一般二选一用文件锁避免并发但不是必需品。我个人的最终选择是保留cron方案。原因很简单freshclam这个工具本身已经很成熟cron里已经考虑了随机延迟和静默模式少一个systemd服务就少一个排查维度。5. 实战扫描三组命令覆盖日常90%的需求5.1 指定目录扫描和必带参数最常用的是扫描网站/共享目录比如我经常扫/home/www或/data/shared。命令模板clamscan -r /home/www -i --log/var/log/clamav/scan.log我来拆解参数-r递归扫描子目录没有这个参数目录下文件不会完整扫描。-i只打印被感染文件默认情况下clamscan会把每个正常文件都打一行OK噪音极大。--log把扫描结果写入日志文件方便事后追溯。再加几个实际中很有用的参数参数作用--move/opt/clamav-quarantine发现病毒后把文件移动到隔离目录--exclude-dir^/proc跳过指定目录--max-filesize40M超过40M的文件不扫描--max-scansize200M对单个包文件最多展开200M内容一个综合一点的例子clamscan -r /home/www \ -i \ --move/opt/clamav-quarantine \ --exclude-dir^/home/www/cache \ --log/var/log/clamav/scan-$(date %F).log注意--move指定的目录要提前创建好否则ClamAV会报错“Cant move file to quarantine”。5.2 全盘扫描与必须排除的目录全盘扫描命令本身不复杂麻烦的是不必要目录的排除。以下是我在CentOS 7上实测可行的全盘扫描模板clamscan -r / \ --exclude-dir^/sys \ --exclude-dir^/proc \ --exclude-dir^/dev \ --exclude-dir^/run \ --exclude-dir^/var/lib/clamav \ --exclude-dir^/var/log \ --exclude-dir^/data/backup \ -i --log/var/log/clamav/full-scan.log这里必须把/sys、/proc、/dev、/run排除掉因为它们是伪文件系统内容由内核动态生成扫描它们没有任何意义还会产生大量权限报错占用日志空间。/var/lib/clamav是病毒库所在地不需要扫/var/log和备份目录属于重建成本高、且容易被大量文件拖慢速度的路径建议根据实际需求排除。全盘扫描非常耗时在机械硬盘上扫一套500G的数据可能需要几个小时甚至更久。第一次全盘扫描建议挑业务低峰期并且先在日志里确认输出目录有足够空间。5.3 什么时候才需要上clamd/clamdscanclamscan每次执行都要重新加载病毒库到内存然后扫描结束后释放这就是为什么它启动慢、前几秒会吃掉不少CPU。如果你一天只扫一次这个开销无所谓但如果你要频繁地反复扫描多个目录每次都重新加载病毒库就很不划算。这种情况就该用clamd安装clamav-server和clamav-server-systemd。编辑/etc/clamd.d/scan.conf将Example注释掉并配置LocalSocket /var/run/clamd.scan/clamd.sock User clamscan LogFile /var/log/clamav/clamd.log启动服务systemctl enable --now clamdscan客户端扫描clamdscan -i /home/wwwclamd常驻内存后病毒库一直加载在内存里响应速度远快于clamscan但它会常驻占用一小部分内存默认配置下大约150MB到300MB小内存的VPS要斟酌一下。对于没有高频扫描需求的服务器我建议别开clamd直接用clamscan加crontab就够了。6. 定时自动体检与结果处理闭环6.1 用crontab实现最简单的凌晨扫描把扫描交给定时任务是让杀毒软件从“装了就放心”变成“真正在起作用”的关键一步。最简单的方式crontab -e加入0 3 * * * /usr/bin/clamscan -r /home/www -i --move/opt/clamav-quarantine --log/var/log/clamav/scan.log这样每天凌晨3点扫描一次/home/www。几个使用细节日志文件要按日期轮转避免无限增长。简单做法--log/var/log/clamav/scan-$(date \%F).log注意crontab里%要转义。如果扫描结果不需要每次留全量日志只关心被感染文件可以用--log配fi让日志内被感染文件始终在文件尾部。隔离目录建议每周手动清理一次确认隔离的文件不是误报后再保存或删除。6.2 更规整的systemd timer方案不想把任务散落在cron里可以用systemd timer把扫描任务当“服务”来管理。创建service文件vim /etc/systemd/system/clamav-daily-scan.service内容[Unit] DescriptionDaily ClamAV Scan [Service] Typeoneshot ExecStart/usr/bin/clamscan -r /home/www -i --move/opt/clamav-quarantine --log/var/log/clamav/scan.log再创建timervim /etc/systemd/system/clamav-daily-scan.timer内容[Unit] DescriptionRun ClamAV daily scan at 02:30 [Timer] OnCalendar*-*-* 02:30:00 Persistenttrue [Install] WantedBytimers.target启动systemctl daemon-reload systemctl enable --now clamav-daily-scan.timerPersistenttrue的作用是如果系统在计划时间点处于关机状态重启后自动补执行一次对服务器这种长期开机的环境作用不大但对偶尔维护关机的机器很实用。6.3 扫描出病毒后的正确处理顺序定时任务跑完怎么快速知道有没有出问题我的做法是看一眼日志和隔离目录grep -i FOUND /var/log/clamav/scan.log ls -l /opt/clamav-quarantine如果发现有被标记的文件建议按这个顺序处理不要急着一键删除确认文件类型和来源file命令、时间戳、所在目录判断是不是业务系统自己生成的合法文件。查病毒名通过ClamAV日志中的病毒名搜索引擎搜一下是不是已知家族判断风险程度。对所有标记文件先保留隔离区不要用--remove直接删。原因是ClamAV存在误报尤其对加密的PHP脚本、加壳的破解工具、某些编译缓存文件。确认误报后可以在扫描命令里加白名单clamscan -r /home/www --excludepath/to/file或在clamd配置里用ExcludePath参数。提示生产环境里病毒文件隔离后再分析的价值远大于直接删除因为你需要知道它是怎么进来的才能决定要不要补防火墙、改权限、换FTP密码。7. 我踩过的坑安装和运行中的五个实际问题7.1 freshclam报权限错误写不进病毒库典型报错ERROR: Cant save the daily.cvd查下来基本都是/var/lib/clamav目录属主不是clamupdate用户。ClamAV的freshclam默认以clamupdate身份运行如果目录属主是root它就写不进去。修复chown -R clamupdate:clamupdate /var/lib/clamav chmod 755 /var/lib/clamav另外确认一下freshclam.log的文件属主日志目录/var/log/clamav也尽量给clamupdate写权限。这个坑在全新安装时偶尔出现因为部分repo打包脚本创建目录时用的是root。7.2 clamd内存直接飙到1GBclamd默认配置解压文件大小和扫描深度都比较激进遇到大包文件、复杂压缩包时内存会飙升。如果机器内存只有2G可能直接把SSH服务都拖死。解决办法是在clamd的配置文件里增加或修改这些限制MaxScanSize 400M MaxFileSize 100M MaxRecursion 10 MaxFiles 10000 StreamMaxLength 10M其中StreamMaxLength主要限制clamdscan通过socket传输给clamd的流式数据大小而对clamd直接扫描本地目录时限制由MaxScanSize控制。设置这些参数其实不损失多少检出能力还能避免扫描把它们搞死。7.3 扫描卡在某个文件上不动了clamscan遇到大文件、损坏的压缩包或某些特殊文件时极少数情况下会长时间卡住。最直接的应对是给扫描命令加上超时参数clamscan -r /home/www --max-filesize40M --max-scansize200M同时在系统层面用timeout包一层timeout 3600 clamscan -r /home/www -i --log/var/log/clamav/scan.log1小时后如果还没跑完会自动终止避免凌晨扫描任务拖到早上用户上班还没结束。另外建议把扫描日志加上--debug参数排查一次看看卡在哪个文件如果那个文件是某个已知的畸形文件可以直接加入排除名单。7.4 SELinux开启后freshclam和clamd各种报错CentOS 7默认SELinux是Enforcing状态很多从纯Ubuntu转过来的人并不习惯等遇到权限问题时第一反应是抱怨“明明文件权限都对为什么还报permission denied”这时候八成是SELinux在拦。尤其freshclam从CVE-2016后包的SELinux策略更严格直接表现是freshclam无法正常访问网络或写入病毒库目录clamd扫描时无法读取某些目录。排查方式ausearch -m avc -ts recent如果确实看到与clamav相关的AVC拒绝记录在确认系统策略允许的前提下放行相关布尔值setsebool -P antivirus_can_scan_system 1这个布尔值允许防病毒软件扫描系统目录对clamd读取系统路径很有帮助。如果做了调整仍在报错再考虑对指定的病毒库目录恢复SELinux上下文restorecon -Rv /var/lib/clamav不到万不得已不要去改SELinux全局模式关掉它会让你后续排查别的安全问题失去一个重要的审计层。7.5 误报别急着删先隔离ClamAV的误报坑我踩过两次。第一次是扫描一个Java项目的编译产物标记了其中某个class第二次是指纹识别了一个自己写的破解补丁。两次的共同点都是文件本身是合法业务文件但因为被加过壳或者含有类似恶意代码的特征片段被ClamAV判定为风险。自那以后我所有自动化扫描都用--move隔离而不是--remove删除。隔离目录给了业务方一个复核的缓冲期确认是误报再放行确实是恶意文件再清理这个流程能把损失降到最低。另外对频繁误报的目录可以考虑在扫描命令里加--exclude-dir跳过或者结合--include精确定位到需要检测的文件类型减少无关干扰。最后说几句实在话。把ClamAV装好、配好定时、确认病毒库在更新这件事花不了半小时但它真正的作用是在文件流转的必经之路上多装了一道闸门。服务器不会因为你装了杀毒就变得固若金汤防火墙加固、权限收敛、日志审计一个都不能少但反过来如果你连这道闸门都不装那么某天Windows电脑因为插入一个U盘被勒索病毒加密后你翻遍服务器日志才发现那份携带病毒的压缩包就静静躺在共享目录里躺了三个星期。那时候再装就只剩下亡羊补牢了。
