网站 › 『病毒救援区』 › linux服务器中马，对linux不熟悉，求大神拯救

如花美眷 发表于 2019-8-13 12:28

linux服务器中马，对linux不熟悉，求大神拯救

腾讯云的linux服务器
服务器上有宝塔的程序
【腾讯云】安全提醒:您的服务器10.***.**.62(腾讯云账号ID:7317829 账号昵称:***地域:香港)检测到存在未处理的/tmp/phpLzNYsh木马文件。您的服务器疑似被黑客入侵，请即刻前往云镜控制台查看详细信息并参照 http://url.cn/5AnEx6J 进行处理。
疑是木马文件打包 压缩密码 52pojie
链接: https://pan.baidu.com/s/1aF2wglCvwqHufEJKN4BW0g 提取码: ifxa

御花猫 发表于 2019-8-13 13:08

用netstat -tnlup 和 crontab -l ，分别检查下是哪个进程在跑病毒，检查是否有定时任务，别着急删除，查明如何调用的再处理，找到执行脚本文件查到下载代码的病毒网站防火墙屏蔽域名或ip。如果是固定样式的进程名，可以考虑建定时任务检测进程名（加通配符）并杀死。一般很难彻底清理干净，如不熟悉linux更不容易。

JuncoJet 发表于 2019-8-13 12:40

多态病毒
但有特征，\rm -f php* 试试

JuncoJet 发表于 2019-8-13 12:41

先把php服务停掉再删

qwerfive 发表于 2019-8-13 12:45

检查计划任务，还有Http日志

JuncoJet 发表于 2019-8-13 12:51

看了下是两种类型的一句话马，可以用grep -r '@eval' ./ 和 grep -r ':EvaL' ./ 来搜索木马特征值
也可以根据文件名来搜索，find ./ -name 'php*'

a192424 发表于 2019-8-13 13:13

学习了一下

查看完整版本: linux服务器中马，对linux不熟悉，求大神拯救