整个服务器所有网站被挂马

8943

' |8 g2 R2 T3 Z' b
# a8 Z- u& j+ E* ^9 L1 [( p2 ]; \: s应该是用的wordpress的漏洞，删了2个小时。
" ^2 g$ B  V- s  w# L4 D! G  Q
生成的文件有index.php.radio.php,admin.php,还有其他几个，还有.htacess，在根目录，wp-content文件下还有个mu-plugins-old文件夹。然后基本每个文件夹下生成.htacess文件。没有wp-admin和wp-include的，就自动生成，伪装成wordpress正常文件。

用着wordpress程序的，index.php文件里面写上程序了，能正常访问，一般发现不了。没用wordpress程序的，把原来的index.php覆盖了，访问不了，要不还发现不了。

/ K4 `; z# ~4 d6 a
大家没事了查查源文件。
( i: l+ \0 I0 o, |' x7 {8 [3 ?---------------------------------------
; p4 S$ K% F" V0 y0 `" _; o生成的htacess文件

- {( V. Q! B& \" B# r9 G<FilesMatch ".(py|exe|php)$">
: u* _* p$ }/ w) w5 b0 J Order allow,deny
Deny from all
& y  |6 K0 }- p. P/ l- m</FilesMatch>
<FilesMatch "^(about.php|radio.php|index.php|content.php|lock360.php|admin.php|wp-login.php|wp-l0gin.php|wp-theme.php|wp-scripts.php|wp-editor.php)$">
Order allow,deny
5 [* w4 M3 w& l Allow from all
</FilesMatch>
, }3 ~& w; h3 |5 `3 h$ _1 B+ l* h<IfModule mod_rewrite.c>
) c& j' t9 }6 j4 P  g- p0 L4 RRewriteEngine On
RewriteBase /
RewriteRule ^index\.php$ - [L]
( K1 [% v, g( T% V8 _2 eRewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
7 C  P& g: e; T# i* w$ cRewriteRule . /index.php [L]
</IfModule>-----------------------------------------
! p+ k& W# E* L  ^正常源码上面生成的字符
6 R6 W/ w5 _' @$ n3 [
& ~' G5 x; v9 f7 P0 c

4 M* p% F' {5 s. S0 o" P% ~

河小马

这种其实只能重装
1 P4 c3 a) X; d* U
你不知道是哪里出了问题，删是删不干净的

sead

8943 发表于 2022-4-12 17:06
  Q6 M* F! K6 ]6 a/ @  }用的bt面板，没开。
最早的文件我看是4月8号的，也就是没几天

如果碰到服务器版本有提权漏洞，内核提权了才头疼。
: l; \! ?6 F7 T  J- B* w公布的提权漏洞还算好，可以查，要真查到版本符合，不要抱侥幸心理，可以换服务器了

ShinobuCR

我这好像没有，挂防火墙插件了么

8943

用的bt面板，没开。
+ Z% `9 Z7 l, e9 n6 l3 s' u% t最早的文件我看是4月8号的，也就是没几天
/ Z0 w0 L- Q( m' ]) D$ O, T

小龙虾

上传文件目录检查，其他文件全新覆盖吧

sead

防止0day的最硬方式，防火墙不是100%防止的
https://www.advertcn.com/thread-97475-1-1.html

老菜

ShinobuCR 发表于 2022-4-12 16:54
+ I  ]5 I2 z8 Q我这好像没有，挂防火墙插件了么

3 p* c- H6 U. K: }/ r一般挂哪个插件好点呢

sead

8943 发表于 2022-4-12 17:06
用的bt面板，没开。
0 h& ]% h0 k" _+ J! c$ o" u最早的文件我看是4月8号的，也就是没几天

3 |$ N0 A3 h5 f* ^- t, l# Q正常情况下文件时间是可以修改的，如果权限比较大，想藏后门很容易

8943

我把只要没流量的网站都删除了，剩下的网站也没几个wordpress程序了，过两天再看看还有没有。
: t8 s' i/ `; z* A9 T
3 q) ~, P: F' s0 m0 B( Z+ n以后还是少用wordpress把，用的话就自己i改一下，就几个页面，防止被黑。

8943

sead 发表于 2022-4-12 17:59
. P. O* a- L& V4 D正常情况下文件时间是可以修改的，如果权限比较大，想藏后门很容易

应该是最近的，我每天都要随机访问一下网站域名，有的网站首页是html的，就没问题，也就大意了。写进去的源代码，你不访问首页不生成文件，访问以后，在刷新，文件就变了，服务器内部就多了好多文件。首页是php的直接文件写源码进去，html的只是把其他文件生成了，但是不影响访问。

newcb

是不是用了破解的主题？

8943

newcb 发表于 2022-4-12 18:17
% k4 n1 C% O5 N是不是用了破解的主题？

应该是没有，具体的也忘了，都是采集的，丢一个wordpress上去，基本都是默认模板，好多个版本的wordpress

枸夭

我也被黑过一次，被挂上了日本的黑链，没用任何破解主题和插件。最后重装了

ShinobuCR

老菜 发表于 2022-4-12 17:59
一般挂哪个插件好点呢

Wordfence 吧，我就挂免费版的 至少目前为止没出啥问题
  d# C5 Y6 r5 K8 ]( O9 T6 M3 N* j之前没挂防火墙确实被入侵过