请问宝塔扫出来这是木马吗？能否删除

sohusec

2 A" b) H9 O; D3 x, c
+ {, M% ^  P! \" k用宝塔自带的木马查杀工具扫出来十几条可疑文件。
我大致看了下是主体跟插件，到底是不是木马呢？能否直接删除。
各位有遇到过相似情况吗？求解惑
: h1 L' k. E" ]6 F9 p

河小马

我没用过宝塔

! k" g8 v2 a- x5 ^6 Z' x4 K你可以去这些软件的官方网站重新下载一下插件，然后比对一下MD5，看看是不是被人强行篡改了

0 B+ c4 Q0 s+ Q  U% y0 w% S; y% d+ Q0 V仅仅看文件名字，看不出来什么

sohusec

河小马 发表于 2022-5-5 16:08
6 I7 G, K6 ?, f+ K- J我没用过宝塔
; f+ \3 T; j  e* Y
" g$ v" A* O( B# t你可以去这些软件的官方网站重新一下插件，然后比对一下MD5，看看是不是被人强行篡改了

" S$ S( N6 N% T* ]4 j5 B% O谢谢河小马，我先去核实下

老P

这不一定是木马，检测都是带有某些特征就会判定可疑，打开文件看看代码排除下。

sohusec

老P 发表于 2022-5-5 17:22
这不一定是木马，检测都是带有某些特征就会判定可疑，打开文件看看代码排除下。 ...

请问木马是有什么特征吗

老P

sohusec 发表于 2022-5-5 17:45
4 Z. D2 z, j* o* v' O5 j( Y8 S9 o5 ?请问木马是有什么特征吗

: X; J! W& Z3 ]3 L这就太多了。
1. 执行系统命令: system, passthru, shell_exec, exec, popen, proc_open
: Z# |) M! Y  d3 T; r. ^2. 代码执行与加密: eval, assert, call_user_func,base64_decode, gzinflate, gzuncompress, gzdecode, str_rot13
% y5 O1 t4 H' Q% T2 [3. 文件包含与生成: require, require_once, include, include_once, file_get_contents, file_put_contents, fputs, fwrite
5 L/ H1 H. ^9 Q. Q等等等

小白龙

宝塔也敢用

cdwyd

要是安装过破解版的插件或者主题的话那99%是有问题，常规插件主题一般不会用到敏感函数。

sohusec

老P 发表于 2022-5-5 17:58
这就太多了。
1. 执行系统命令: system, passthru, shell_exec, exec, popen, proc_open
2. 代码执行与加 ...

% O! z: C4 _1 U1 V牛皮，我记录一下 谢谢大神

sohusec

cdwyd 发表于 2022-5-5 18:36
: c. }3 j2 b# T, o要是安装过破解版的插件或者主题的话那99%是有问题，常规插件主题一般不会用到敏感函数。 ...

) }2 l9 Z' D- e* c" X5 l用的正版                                       

sohusec

小白龙 发表于 2022-5-5 18:32
: f% G) n. u+ p) e: c! l" I% C宝塔也敢用

吓得我赶紧把木马查杀工具卸载了

sead

命令行搞明白，用原装的方式安装，权限设死，就算有PHP程序漏洞，直接无视（打开权限升级前有gitlab备份最好，毕竟开的瞬间可能也会被KO）。
2 u4 \8 M3 w1 x有条件的可以使用gitlab进行程序备份，出问题了也方便查
1 g: f1 R" x5 m" |

sohusec

sead 发表于 2022-5-6 23:49
命令行搞明白，用原装的方式安装，权限设死，就算有PHP程序漏洞，直接无视（打开权限升级前有gitlab备份最 ...

好的，我试试

zqm840527

用clamAV扫

somniski

有的是，有的是被误认的执行文件，做过游戏服务端的话应该会很清楚！
2 t$ U# W, R2 G4 d  N9 s看看宝塔里的内存和CPU占用率，如果高的吓人，那就是挖矿！
( s& S" l' f, t) B1 P) p6 z顺便看下有没有人自动连接你的服务器！