ClamAV
> ClamAV — 开源的轻量级杀毒引擎，专为Linux/Unix环境设计，帮你扫清邮件附件和文件上传里的恶意软件。
---
嘿，各位老铁，今天咱们聊个实在玩意儿——**ClamAV**。
先别急着划走，我知道一听到“杀毒软件”四个字，Windows用户脑子里全是弹窗、全家桶和“您的电脑已中毒”的红色大字。但ClamAV完全不是那个画风，它是个**跑在服务器上、纯命令行、没花里胡哨界面**的安静家伙。你甚至感觉不到它的存在，但它就在那儿默默帮你挡着恶意文件。
## 这玩意儿到底干啥的？
简单说，ClamAV是**Linux/Unix世界最常用的开源杀毒引擎**。它主要解决三个问题：
1. **邮件网关扫描**：你的企业邮箱服务器（比如Postfix、Exim）接进来的每封邮件，附件里带不带毒？ClamAV能实时拦截。
2. **文件上传防护**：网站用户上传头像、PDF、压缩包，万一传个webshell或者勒索软件，你的服务器就凉了。ClamAV可以在后端先扫一遍。
3. **日常文件系统扫描**：定期给服务器做个体检，看看有没有被种马或者残留的恶意脚本。
它跟Windows上的360、卡巴斯基最大的区别是——**它不主动监控、不弹窗、不占资源**。你想要它干活的时候，敲命令就行；不想让它跑，它绝对不碰你系统。
## 下载安装（别怕，超简单）
ClamAV是**开源软件**，主流的Linux发行版都有现成包。别去官网手动编译，麻烦且没必要。
**官网在这**：[https://www.clamav.net/](https://www.clamav.net/) （里面有文档和下载源，但咱直接用系统包管理更香）
**Ubuntu/Debian系：**
```bash
sudo apt update
sudo apt install clamav clamav-daemon
```
**CentOS/RHEL/Fedora系：**
```bash
sudo dnf install clamav clamav-update
```
**macOS（用Homebrew）：**
```bash
brew install clamav
```
装完之后，顺手更新一下病毒库（第一次必须做，不然扫不了）：
```bash
sudo freshclam
```
这个命令会从ClamAV的官方服务器拉取最新的病毒特征库，大概几十MB，看网速。如果卡住了，可能是网络问题，多试几次。
## 基础使用教程（看完就会）
### 1. 扫描单个文件
```bash
clamscan /home/user/Downloads/suspicious.pdf
```
输出会告诉你“OK”还是“FOUND”，如果发现病毒会直接显示病毒名称。
### 2. 扫描整个目录（递归）
```bash
clamscan -r /home/user/Downloads/
```
`-r` 就是递归，把子目录也扫了。
### 3. 扫描并自动删除病毒文件（慎用！）
```bash
clamscan -r --remove /home/user/Downloads/
```
千万别在没备份的情况下用这个，万一误报，文件就没了。建议先用 `--move=/tmp/quarantine` 把可疑文件隔离到指定文件夹。
### 4. 扫描时排除某些目录
```bash
clamscan -r /home/user --exclude-dir="^/home/user/.cache" --exclude-dir="^/home/user/.local"
```
防止扫到一堆缓存文件浪费时间。
### 5. 日志输出到文件
```bash
clamscan -r /var/www/html -l /var/log/clamav-scan.log
```
生产环境建议加这个，方便事后排查。
### 6. 配合cron定期自动扫描
编辑crontab：
```bash
crontab -e
```
加一行，每天凌晨3点扫一次网站目录，结果发邮件给你：
```
0 3 * * * clamscan -r /var/www/html -l /var/log/clamav-daily.log | mail -s "Daily ClamAV Scan" you@example.com
```
## 进阶技巧（老手必看）
### 1. 用 `clamd` 守护进程，扫描速度快10倍
每次调用`clamscan`都要重新加载病毒库，很慢。正确姿势是启动常驻服务`clamd`，然后用`clamdscan`命令连接它。
```bash
# 启动守护进程
sudo systemctl start clamav-daemon
sudo systemctl enable clamav-daemon
# 用clamdscan扫描
clamdscan -r /home/user/Downloads/
```
你会发现速度飞起，因为病毒库一直在内存里。
### 2. 自定义病毒库规则
ClamAV支持你写自己的检测规则，比如你发现某个恶意文件特征，可以自己定义：
```bash
sudo nano /var/lib/clamav/custom.hdb
```
文件格式举例（每行一条）：
```
44d88612fea8a8f36de82e1278abb02f:6677:Exploit.PDF.Gen
```
前面是文件的MD5哈希，中间是文件大小，后面是病毒名。写完后跑：
```bash
sudo freshclam --custom-info
```
### 3. 和Nginx集成，扫描上传文件
如果你用Nginx做反向代理，可以安装`clamav-nginx`模块，或者更简单——用`mod_security`配合ClamAV，实现上传文件自动扫描。不过这个配置稍复杂，建议先用`clamdscan`写个简单的PHP/Python接口，上传后先扫描再保存。
### 4. 监控模式（实时防护）
ClamAV本身不提供实时防护，但你可以配合`inotifywait`（inotify-tools包）监控特定目录，新文件一出现就触发扫描：
```bash
inotifywait -m -r -e create -e moved_to /var/www/uploads | while read path action file; do
clamdscan --no-summary "$path$file"
done
```
这个脚本可以后台运行，实现准实时防护。
## 几个坑提醒你
- **误报率**：ClamAV对某些加密压缩包或混淆脚本会误报，生产环境建议先隔离再人工确认，别直接删。
- **病毒库更新频率**：默认freshclam每天更新一次，但如果你处理敏感文件，建议改成每6小时一次，在`/etc/clamav/freshclam.conf`里改`Checks 4`。
- **内存占用**：clamd大约占100-200MB内存，小内存VPS要注意，可以调低`MaxThreads`和`MaxQueueSize`。
## 总结
ClamAV不是万能神药，它没法替代应用防火墙和代码审计，但在“防患于未然”这件事上，它绝对是Linux服务器最便宜、最省心的安全网。尤其是跑邮件服务器、文件服务器或者接受用户上传的网站，装上它，晚上睡觉都踏实。
如果你还没装，现在就试试吧。五分钟装好，十分钟配置完，以后就再也不用担心某个附件里藏着个挖矿脚本了。
Peace out. ✌️