整个服务器所有网站被挂马

8943

2 B" t2 E! i8 c: @2 p' B
' t" i* p; Y' s. c4 _应该是用的wordpress的漏洞，删了2个小时。
3 }- ?8 f/ `: _3 Q& w
6 Q' M5 x9 M. `6 i6 H+ {生成的文件有index.php.radio.php,admin.php,还有其他几个，还有.htacess，在根目录，wp-content文件下还有个mu-plugins-old文件夹。然后基本每个文件夹下生成.htacess文件。没有wp-admin和wp-include的，就自动生成，伪装成wordpress正常文件。
  S8 V0 P& H% [+ ~: l: f3 B# d' l$ _
7 q/ _) [% n3 X2 g4 e! V用着wordpress程序的，index.php文件里面写上程序了，能正常访问，一般发现不了。没用wordpress程序的，把原来的index.php覆盖了，访问不了，要不还发现不了。
+ h2 k$ a( q+ a7 P, x. l' z- c

& c4 g# e  r6 j( W6 Q大家没事了查查源文件。
---------------------------------------
7 R+ i! R2 J! K, f生成的htacess文件

- d9 k: [% W3 }2 R- t<FilesMatch ".(py|exe|php)$">
1 S% o4 F/ O4 G. x Order allow,deny
Deny from all
6 V, B+ |: }& ?+ a+ @</FilesMatch>
<FilesMatch "^(about.php|radio.php|index.php|content.php|lock360.php|admin.php|wp-login.php|wp-l0gin.php|wp-theme.php|wp-scripts.php|wp-editor.php)$">
- L3 l# D' p" N6 W: A' V2 ]0 ] Order allow,deny
Allow from all
</FilesMatch>
! o0 v$ `6 `9 _& |  w# m0 \<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
& [2 s: L# c9 n& yRewriteRule ^index\.php$ - [L]
( i5 r' V0 \. o" ^! W, W  NRewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
3 J8 ]2 M! l1 W</IfModule>-----------------------------------------
3 w8 E- p$ v& n+ @  H# H正常源码上面生成的字符
/ i# y% X4 k( @7 F1 D: |


% H# q3 X3 b8 ^: G# Z: j

河小马

这种其实只能重装

' X% j% M1 w* Q3 A7 l0 e你不知道是哪里出了问题，删是删不干净的

sead

8943 发表于 2022-4-12 17:06
- w- }3 a0 T% \- I" r" V用的bt面板，没开。
最早的文件我看是4月8号的，也就是没几天

, B  r' v& F. u如果碰到服务器版本有提权漏洞，内核提权了才头疼。
# U! k2 j) P  i4 ~公布的提权漏洞还算好，可以查，要真查到版本符合，不要抱侥幸心理，可以换服务器了

ShinobuCR

我这好像没有，挂防火墙插件了么

8943

用的bt面板，没开。
最早的文件我看是4月8号的，也就是没几天
! k9 z& F2 s9 |0 j4 r

小龙虾

上传文件目录检查，其他文件全新覆盖吧

sead

防止0day的最硬方式，防火墙不是100%防止的
4 r$ z3 U1 k3 Y0 j% Rhttps://www.advertcn.com/thread-97475-1-1.html

老菜

ShinobuCR 发表于 2022-4-12 16:54
0 W7 A+ m3 m& l# F  X6 _) o我这好像没有，挂防火墙插件了么

; z2 j4 o' I+ o* V一般挂哪个插件好点呢

sead

8943 发表于 2022-4-12 17:06
用的bt面板，没开。
最早的文件我看是4月8号的，也就是没几天

9 H% K' x7 w% V. n正常情况下文件时间是可以修改的，如果权限比较大，想藏后门很容易

8943

我把只要没流量的网站都删除了，剩下的网站也没几个wordpress程序了，过两天再看看还有没有。
3 f/ n6 m' X8 g+ A( W8 Q* w& {# t: C
6 ]1 j& o) V" p2 W) j5 D1 K以后还是少用wordpress把，用的话就自己i改一下，就几个页面，防止被黑。
: `1 e: U  V0 T

8943

sead 发表于 2022-4-12 17:59
正常情况下文件时间是可以修改的，如果权限比较大，想藏后门很容易

应该是最近的，我每天都要随机访问一下网站域名，有的网站首页是html的，就没问题，也就大意了。写进去的源代码，你不访问首页不生成文件，访问以后，在刷新，文件就变了，服务器内部就多了好多文件。首页是php的直接文件写源码进去，html的只是把其他文件生成了，但是不影响访问。

newcb

是不是用了破解的主题？

8943

newcb 发表于 2022-4-12 18:17
是不是用了破解的主题？

* v1 e6 ?' ~, _0 j2 a6 N) B应该是没有，具体的也忘了，都是采集的，丢一个wordpress上去，基本都是默认模板，好多个版本的wordpress

枸夭

我也被黑过一次，被挂上了日本的黑链，没用任何破解主题和插件。最后重装了

ShinobuCR

老菜 发表于 2022-4-12 17:59
1 J0 `" h  J- W4 A2 E) T一般挂哪个插件好点呢

& n& ~6 [; i& b1 Q8 e) u* G  JWordfence 吧，我就挂免费版的 至少目前为止没出啥问题
; X4 {: f1 f/ U+ k1 H& `& N9 g之前没挂防火墙确实被入侵过