我的宝塔又被入侵了 附检测命令

@Ta 2022-12-12发布,2022-12-12修改 13105点击
8只宝塔机 中招了3只 都是编译安装 发帖的时间又遭了一只
等会空了总结写教程 劝大家先把面板关闭
20.34我在查杀手机其他服务器时 黑客就刚刚在我眼皮子底下把我面板入侵了 等会上图
下面是公布目前已知木马特征:
明显现象:访问自己的网站跳转到其他非法网站
如果出现了上面的现象,排查是否符合下面的特征
1、使用无痕模式访问目标网站的js文件,内容中包含:_0xd4d9  或  _0x2551  或  _0xb2ce  关键词的
2、面板日志、系统日志都被清空过的
3、/www/server/nginx/sbin/nginx 被替换的,或者存在 /www/server/nginx/conf/btwaf/config 文件的
4、*期安装的nginx存在 /www/server/panel/data/nginx_md5.pl 文件,可与现有文件进行比较确认是否被修改(nginx_md5.pl文件是我们用来记录上一次安装nginx时的md5值,如果您的网站异常了,可以打开这个文件跟现在的/www/server/nginx/sbin/nginx文件md5做对比)
经过我的查杀发现
面板会有登录记录 有登录提醒的会报警
修复宝塔后强烈建议关闭面板 
被入侵后一定要将/tmp目录那几个文件删了,然后重装nginx
进去宝塔首页修复宝塔面板,修改宝塔面板的账号密码和安全入口,然后base认证和ip限制登录、面板https、域名绑定等都可以开一下 开启后还是强烈建议关闭面板 此次漏洞危害很大
以下是检测被是否被入侵的命令 ssh.执行即可看到提示
curl -sSO -k https://download.bt.cn/tools/w_check.py && btpython w_check.py && rm -rf w_check.py
我是晨曦,我喂自己袋盐!
我是晨曦,我喂自己袋盐!
我是晨曦,我喂自己袋盐!
回复列表(14|隐藏机器人聊天)
添加新回复
回复需要登录