请问宝塔扫出来这是木马吗？能否删除

sohusec

1 B% y7 s/ n( y; L+ P3 n$ ^
用宝塔自带的木马查杀工具扫出来十几条可疑文件。
% e) E' u7 x  P# D! q8 t- d0 |( q我大致看了下是主体跟插件，到底是不是木马呢？能否直接删除。
各位有遇到过相似情况吗？求解惑

河小马

我没用过宝塔
# ~# S+ Y# i" L  e, N8 y2 `6 w! R
你可以去这些软件的官方网站重新下载一下插件，然后比对一下MD5，看看是不是被人强行篡改了
5 p8 j" E0 l( t8 {/ k9 t
6 a6 ?3 d' M" O4 }/ H1 Z+ U! C7 Y1 @7 M) y仅仅看文件名字，看不出来什么

sohusec

河小马 发表于 2022-5-5 16:08
我没用过宝塔

- G; }! F0 [' L- k+ g$ J- ~* u' T0 ?: Y你可以去这些软件的官方网站重新一下插件，然后比对一下MD5，看看是不是被人强行篡改了

谢谢河小马，我先去核实下

老P

这不一定是木马，检测都是带有某些特征就会判定可疑，打开文件看看代码排除下。

sohusec

老P 发表于 2022-5-5 17:22
9 I! f3 y6 K4 K# N2 ~4 Z这不一定是木马，检测都是带有某些特征就会判定可疑，打开文件看看代码排除下。 ...

( G$ ~( M% L- ?4 D2 J请问木马是有什么特征吗

老P

sohusec 发表于 2022-5-5 17:45
请问木马是有什么特征吗

这就太多了。
- e: }+ e0 P3 j1. 执行系统命令: system, passthru, shell_exec, exec, popen, proc_open
* T$ d/ g: H1 b2. 代码执行与加密: eval, assert, call_user_func,base64_decode, gzinflate, gzuncompress, gzdecode, str_rot13
: @7 ^" f) B9 u' N( g$ N- P" R8 g3. 文件包含与生成: require, require_once, include, include_once, file_get_contents, file_put_contents, fputs, fwrite
7 c  E, {% J4 l2 P. C, k9 q等等等

小白龙

宝塔也敢用

cdwyd

要是安装过破解版的插件或者主题的话那99%是有问题，常规插件主题一般不会用到敏感函数。

sohusec

老P 发表于 2022-5-5 17:58
这就太多了。
$ p! t" h5 a5 O/ y7 t! L1 [2 N& W# \1. 执行系统命令: system, passthru, shell_exec, exec, popen, proc_open
0 L! D& m% S, w* U2. 代码执行与加 ...

牛皮，我记录一下 谢谢大神

sohusec

cdwyd 发表于 2022-5-5 18:36
% C0 |0 @* m  F% h5 g- H要是安装过破解版的插件或者主题的话那99%是有问题，常规插件主题一般不会用到敏感函数。 ...

6 m' R" L0 G# G4 F. }用的正版                                       

sohusec

小白龙 发表于 2022-5-5 18:32
0 D0 f. m9 ^# u+ \. Z# X2 f1 `宝塔也敢用

吓得我赶紧把木马查杀工具卸载了

sead

命令行搞明白，用原装的方式安装，权限设死，就算有PHP程序漏洞，直接无视（打开权限升级前有gitlab备份最好，毕竟开的瞬间可能也会被KO）。
有条件的可以使用gitlab进行程序备份，出问题了也方便查
1 v9 |! k4 W/ J. }6 P$ _: D- g9 S

sohusec

sead 发表于 2022-5-6 23:49
命令行搞明白，用原装的方式安装，权限设死，就算有PHP程序漏洞，直接无视（打开权限升级前有gitlab备份最 ...

好的，我试试

zqm840527

用clamAV扫

somniski

有的是，有的是被误认的执行文件，做过游戏服务端的话应该会很清楚！
看看宝塔里的内存和CPU占用率，如果高的吓人，那就是挖矿！
+ |8 k3 @7 _5 X- w2 ?5 x0 ?* Z顺便看下有没有人自动连接你的服务器！