请问宝塔扫出来这是木马吗？能否删除

sohusec

9 p! w% u# P8 \4 @" k0 x2 C2 w& c
# P  x* B$ F& t4 w; c用宝塔自带的木马查杀工具扫出来十几条可疑文件。
3 X2 m3 [1 T6 i; c  a我大致看了下是主体跟插件，到底是不是木马呢？能否直接删除。
各位有遇到过相似情况吗？求解惑

河小马

我没用过宝塔

/ \- S5 J5 Y3 J你可以去这些软件的官方网站重新下载一下插件，然后比对一下MD5，看看是不是被人强行篡改了
: k- b" `/ \  B2 x/ }8 c* r4 s
# K. s  h- [3 [2 ^# Z仅仅看文件名字，看不出来什么

sohusec

河小马 发表于 2022-5-5 16:08
) s( C" Z* v4 l( J! }我没用过宝塔
) t6 Q6 t" N, U2 q2 g) f0 x$ Q
你可以去这些软件的官方网站重新一下插件，然后比对一下MD5，看看是不是被人强行篡改了

. J: l6 q& a/ J  J8 i/ o; M4 q谢谢河小马，我先去核实下

老P

这不一定是木马，检测都是带有某些特征就会判定可疑，打开文件看看代码排除下。

sohusec

老P 发表于 2022-5-5 17:22
  J/ a/ b/ ?1 T这不一定是木马，检测都是带有某些特征就会判定可疑，打开文件看看代码排除下。 ...

请问木马是有什么特征吗

老P

sohusec 发表于 2022-5-5 17:45
3 r6 A. Y. h# N: @  A) r' g请问木马是有什么特征吗

; n+ P" \- q1 Q! B/ y这就太多了。
5 A6 b+ s- v' N7 g# S5 n1 t1. 执行系统命令: system, passthru, shell_exec, exec, popen, proc_open
2. 代码执行与加密: eval, assert, call_user_func,base64_decode, gzinflate, gzuncompress, gzdecode, str_rot13
" e: ?4 u2 i9 J3 y7 @/ G- v3. 文件包含与生成: require, require_once, include, include_once, file_get_contents, file_put_contents, fputs, fwrite
等等等

小白龙

宝塔也敢用

cdwyd

要是安装过破解版的插件或者主题的话那99%是有问题，常规插件主题一般不会用到敏感函数。

sohusec

老P 发表于 2022-5-5 17:58
这就太多了。
9 G/ @$ E3 t! P6 }- E) {1. 执行系统命令: system, passthru, shell_exec, exec, popen, proc_open
- Y+ W2 j/ s) E: K' h; o2. 代码执行与加 ...

: }6 n4 r1 X/ H3 \# J9 G& n5 {牛皮，我记录一下 谢谢大神

sohusec

cdwyd 发表于 2022-5-5 18:36
7 X# y2 ~2 q: Y3 K; R要是安装过破解版的插件或者主题的话那99%是有问题，常规插件主题一般不会用到敏感函数。 ...

& @4 l2 H. {6 J# D( y  W0 c用的正版                                       

sohusec

小白龙 发表于 2022-5-5 18:32
3 F4 J) x3 u$ d6 u, ]! U宝塔也敢用

8 o4 J7 M9 r, ~; i, S 吓得我赶紧把木马查杀工具卸载了

sead

命令行搞明白，用原装的方式安装，权限设死，就算有PHP程序漏洞，直接无视（打开权限升级前有gitlab备份最好，毕竟开的瞬间可能也会被KO）。
- L8 M- I2 x1 Y, l) j有条件的可以使用gitlab进行程序备份，出问题了也方便查
8 r; y* \$ y0 z5 `  \' B% x

sohusec

sead 发表于 2022-5-6 23:49
命令行搞明白，用原装的方式安装，权限设死，就算有PHP程序漏洞，直接无视（打开权限升级前有gitlab备份最 ...

  o9 P% o; c2 A) O' r好的，我试试

zqm840527

用clamAV扫

somniski

有的是，有的是被误认的执行文件，做过游戏服务端的话应该会很清楚！
看看宝塔里的内存和CPU占用率，如果高的吓人，那就是挖矿！
: W' C! D5 E- y1 y, w8 z8 b+ K顺便看下有没有人自动连接你的服务器！