请问宝塔扫出来这是木马吗？能否删除

sohusec

: C8 t. c/ F. B' i2 S, v9 f* @
: ?5 z! \( C) D6 }  C5 t, Y% ]& Y2 r用宝塔自带的木马查杀工具扫出来十几条可疑文件。
我大致看了下是主体跟插件，到底是不是木马呢？能否直接删除。
各位有遇到过相似情况吗？求解惑
6 R. ^# f* \2 }, V. E0 p

河小马

我没用过宝塔

你可以去这些软件的官方网站重新下载一下插件，然后比对一下MD5，看看是不是被人强行篡改了
6 x& }( ?" n# e8 ]5 j2 m7 T7 {: O( l
仅仅看文件名字，看不出来什么

sohusec

河小马 发表于 2022-5-5 16:08
: {0 ^$ n- o+ u8 [) E- @3 O我没用过宝塔

: p7 i8 H8 c. g0 `你可以去这些软件的官方网站重新一下插件，然后比对一下MD5，看看是不是被人强行篡改了

谢谢河小马，我先去核实下

老P

这不一定是木马，检测都是带有某些特征就会判定可疑，打开文件看看代码排除下。

sohusec

老P 发表于 2022-5-5 17:22
2 ?3 c% |# j# y( K$ o. x) D这不一定是木马，检测都是带有某些特征就会判定可疑，打开文件看看代码排除下。 ...

' W" B6 e' I- a3 e请问木马是有什么特征吗

老P

sohusec 发表于 2022-5-5 17:45
请问木马是有什么特征吗

' d$ t* `( e$ C' ~: \; N这就太多了。
1. 执行系统命令: system, passthru, shell_exec, exec, popen, proc_open
- Z. J' H  X- E- c, I2. 代码执行与加密: eval, assert, call_user_func,base64_decode, gzinflate, gzuncompress, gzdecode, str_rot13
3. 文件包含与生成: require, require_once, include, include_once, file_get_contents, file_put_contents, fputs, fwrite
4 P1 h6 F# V4 i  C等等等

小白龙

宝塔也敢用

cdwyd

要是安装过破解版的插件或者主题的话那99%是有问题，常规插件主题一般不会用到敏感函数。

sohusec

老P 发表于 2022-5-5 17:58
, }, T# g5 a. h+ o4 ?2 }! ?6 L% Z  t" {这就太多了。
! p4 ?! [' y. A/ K( y4 K' l& A1. 执行系统命令: system, passthru, shell_exec, exec, popen, proc_open
3 Q. R4 M: ]2 [. t; L$ W' |+ J. {2. 代码执行与加 ...

9 P4 I7 P2 g  s2 Z牛皮，我记录一下 谢谢大神

sohusec

cdwyd 发表于 2022-5-5 18:36
( A: J- c7 ~& T, N要是安装过破解版的插件或者主题的话那99%是有问题，常规插件主题一般不会用到敏感函数。 ...

5 ~3 Q: l* w- |: K) F0 `7 V用的正版                                       

sohusec

小白龙 发表于 2022-5-5 18:32
1 R$ v8 o3 f% X7 K" a$ C# V, ~' ~; W$ v# W宝塔也敢用

, d! R0 ]# v0 Z1 K. _! ?4 q7 Z" S 吓得我赶紧把木马查杀工具卸载了

sead

命令行搞明白，用原装的方式安装，权限设死，就算有PHP程序漏洞，直接无视（打开权限升级前有gitlab备份最好，毕竟开的瞬间可能也会被KO）。
有条件的可以使用gitlab进行程序备份，出问题了也方便查
% b6 L2 {! a; `4 H

sohusec

sead 发表于 2022-5-6 23:49
命令行搞明白，用原装的方式安装，权限设死，就算有PHP程序漏洞，直接无视（打开权限升级前有gitlab备份最 ...

好的，我试试

zqm840527

用clamAV扫

somniski

有的是，有的是被误认的执行文件，做过游戏服务端的话应该会很清楚！
看看宝塔里的内存和CPU占用率，如果高的吓人，那就是挖矿！
顺便看下有没有人自动连接你的服务器！