请问宝塔扫出来这是木马吗？能否删除

sohusec

4 W4 W% A+ N9 |
2 I$ I% _0 O" b3 |用宝塔自带的木马查杀工具扫出来十几条可疑文件。
# s/ E! F+ B3 t0 D$ N9 B  z& U/ u我大致看了下是主体跟插件，到底是不是木马呢？能否直接删除。
* _& s4 S  v$ E: `各位有遇到过相似情况吗？求解惑

河小马

我没用过宝塔

你可以去这些软件的官方网站重新下载一下插件，然后比对一下MD5，看看是不是被人强行篡改了
0 A) _& r% E! j) I7 P6 r! ^+ t: b
仅仅看文件名字，看不出来什么

sohusec

河小马 发表于 2022-5-5 16:08
我没用过宝塔

% E1 R! X# b+ h9 r, }7 E你可以去这些软件的官方网站重新一下插件，然后比对一下MD5，看看是不是被人强行篡改了

# P0 ]3 L/ P# |1 z1 ~' }4 }0 B6 t谢谢河小马，我先去核实下

老P

这不一定是木马，检测都是带有某些特征就会判定可疑，打开文件看看代码排除下。

sohusec

老P 发表于 2022-5-5 17:22
这不一定是木马，检测都是带有某些特征就会判定可疑，打开文件看看代码排除下。 ...

请问木马是有什么特征吗

老P

sohusec 发表于 2022-5-5 17:45
6 P% D% r* o' c: K请问木马是有什么特征吗

这就太多了。
; k4 J$ v6 u' |6 f1. 执行系统命令: system, passthru, shell_exec, exec, popen, proc_open
! j7 k- K/ K+ ^2. 代码执行与加密: eval, assert, call_user_func,base64_decode, gzinflate, gzuncompress, gzdecode, str_rot13
. i( i9 ~9 b: T: E* K3. 文件包含与生成: require, require_once, include, include_once, file_get_contents, file_put_contents, fputs, fwrite
* _% ~* D3 _+ `! `( b- l$ `8 f# Z等等等

小白龙

宝塔也敢用

cdwyd

要是安装过破解版的插件或者主题的话那99%是有问题，常规插件主题一般不会用到敏感函数。

sohusec

老P 发表于 2022-5-5 17:58
) t! o$ f; L3 Y+ j) s" g( [: k* ~这就太多了。
* p, N( H. T6 Q1 e( A7 e4 a; f+ i1. 执行系统命令: system, passthru, shell_exec, exec, popen, proc_open
2. 代码执行与加 ...

# ~" ~3 V! R: U0 l  @$ a牛皮，我记录一下 谢谢大神

sohusec

cdwyd 发表于 2022-5-5 18:36
要是安装过破解版的插件或者主题的话那99%是有问题，常规插件主题一般不会用到敏感函数。 ...

用的正版                                       

sohusec

小白龙 发表于 2022-5-5 18:32
1 j: H7 p5 G+ ^. {/ T宝塔也敢用

0 }, Z. M. C; p' B! F5 q" C4 [ 吓得我赶紧把木马查杀工具卸载了

sead

命令行搞明白，用原装的方式安装，权限设死，就算有PHP程序漏洞，直接无视（打开权限升级前有gitlab备份最好，毕竟开的瞬间可能也会被KO）。
2 \6 {/ ^& `* `5 W! f有条件的可以使用gitlab进行程序备份，出问题了也方便查

sohusec

sead 发表于 2022-5-6 23:49
* Z: C5 i- u; w命令行搞明白，用原装的方式安装，权限设死，就算有PHP程序漏洞，直接无视（打开权限升级前有gitlab备份最 ...

# d' @: }& S3 p! V9 W( H好的，我试试

zqm840527

用clamAV扫

somniski

有的是，有的是被误认的执行文件，做过游戏服务端的话应该会很清楚！
看看宝塔里的内存和CPU占用率，如果高的吓人，那就是挖矿！
5 e' `- b; f" H$ E- _3 M顺便看下有没有人自动连接你的服务器！