关于外传宝塔面板或Nginx异常简单分析
文章引用来源BT官网:
https://www.bt.cn/bbs/thread-105121-1-1.html
nginxBak文件是当在面板更新nginx时,面板会自动备份一份nginxBak文件,防止更新出现异常后无法进行恢复如之前的nginx版本为1.22.0,如果在面板点击更新,更新至1.22.1,就会备份一份1.22.0的主程序文件为nginxBak
官方通知进行了辟谣
同时文件大小不一致的话,是因为安装方式的不同,极速安装包的安装大小一般都为5M,编译方式安装的大小大约为10M以上,而更新走的是编译方式更新。 以上nginxBak并非挂马文件。 下面是目前已知木马特征: 明显现象:访问自己的网站跳转到其他非法网站 如果出现了上面的现象,则是否符合下面的特征 1、使用无痕模式访问目标网站的js文件,内容中包含:_0xd4d9 或 _0x2551 关键词的 2、面板日志、系统日志都被清空过的 3、/www/server/nginx/sbin/nginx 被替换的,或者存在 /www/server/nginx/conf/btwaf/config 文件的 4、*期安装的nginx存在 /www/server/panel/data/nginx_md5.pl 文件,可与现有文件进行比较确认是否被修改(nginx_md5.pl文件是我们用来记录上一次安装nginx时的md5值,如果您的网站异常了,可以打开这个文件跟现在的/www/server/nginx/sbin/nginx文件md5做对比) 另外,未出现异常问题正常使用的用户,给出加固建议,如果您担心面板存在风险,可以登录终端执行bt stop命令停止面板服务(开启服务命令是bt restart),停止面板服务不会影响您网站的正常运行。 其次,宝塔面板中可以做出下面的措施进行网站、面板、服务器加固 1、升级面板到最新版,已经是最新版的,在首页修复面板,并开启BasicAuth认证 2、nginx升级到当前主版本号的最新子版本,如1.22.0升级到1.22.1,已经是最新版的,请卸载重装 3、因生产需要暂时无法升级面板或nginx的,开启BasicAuth认证,有条件的设置授权IP 5、【企业版防篡改-重构版】插件可以有效防止网站被篡改,建议关闭root用户禁止修改文件(需要使用时再放开),另外,将nginx关键执行目录(/www/server/nginx/sbin)锁住 6、【宝塔系统加固】插件中的【关键目录加固】功能,可以将nginx关键执行目录(/www/server/nginx/sbin)锁住,此目录在正常使用中不会有任何修改的行为,除了重装以外其他修改行为均可视为被篡改,所以将它锁上。
拿到样本进行分析
nginxBak样本分析
发现有一个外链IP185.125.188.55
跟踪IP 发现为正常网站IP解析
nginx样本分析
行为发现
两者行为都会在/tmp目录创建文件
根据外传的路径进行查看
/tmp/systemd-private-*
并无文件产生
外传的图片
需要后续继续跟进漏洞详细情报
相关文章
- 交易履约之结算平台实践
- 高复用性自动化脚本设计实践
- Dimension 2022软件下载和安装教程
- Dimension 2021软件下载和安装教程
- Dimension 2020软件下载和安装教程
- Dimension 2019软件下载和安装教程
- 2022年加密货币的采用,哪些事件推动了行业的发展?
- 以太网交换机工作原理
- layui 表格添加右键菜单
- 诞生6年,ClickHouse性能提升了多少?
- 微信小游戏开发如何选游戏引擎?
- 虚拟现实 VR 碰撞 3D 可视化,图扑打造一体化管控平台
- Dato for Mac(菜单栏时钟软件)4.3.3中文版
- 腾讯云OCR性能是如何提升2倍的
- 新年新玩法,数组“招婿”:老许,你要老婆不要?
- 解析SRRS:如何盘活存储资源
- 如何更好地使用Kafka?
- 【短道速滑十】从单幅图像中评估加性噪音的均方差。
- Rust - 01 - Getting Started
- Rust - 02 - Ownership