最近一段时间 CVE-2025-55182（React）和 CVE-2025-66478（Next.js）爆火。
大佬们都开始忙碌起来了，复现漏洞、研究原理、排查现状、修复漏洞。
我作为一个普普通通的牛马，本来是还没资格参与到这种高端局的。
直到周六下午，正准备出门甜蜜的压马路时... 收到了一个这样的短信...
我第一反应就是最近火爆的这两个 CVE， 但仔细回想了几分钟，似乎没有什么服务用到 React 和 Nextjs？
来到【云安全中心】看一眼（图是处理完之后截的，所以显示“已处理”）
这两个 webshell 是我自己测试用的，可以忽略，但是 ATT&CT 的攻击路径，显示已经有“代码执行”和“持久化”动作，所以继续往下翻
简单说一下吧，这里可以看到一些调用链信息，大致可以分析到：攻击者利用漏洞拿到控制台权限后，访问外部 IP 下载了一个 sex.js 的脚本，这个 js 脚本又下载了一个挖矿软件，然后配置了自启的系统服务（重启服务器也会自动运行）。
随后，攻击者又尝试通过 busybox wget 下载恶意程序，但我没有 busybox， 所以应该是没有成功。
紧接着，又尝试执行了 /tmp/fghgf 文件，在【云安全中心】能看到进程 ID （/proc/9874/root/tmp/fghgf）
更过分的是，还有一个挖矿病毒，居然还是 delete 状态，攻击者将其启动了之后，清理了落地文件，让病毒继续在内存中运行。
到这时候，说实话我已经不想排查了... (着急出门压马路呢)
于是我简单看了一下， 主要入口是 umami 的 next.js 版本被命中， 这是我早期部署的一个网站访问量监控项目，主要用来统计我的博客和导航站的访问量的，其实没什么大作用，反正也没人看，后来就一直也没维护过，所以一开始都没想起来有这个项目。
幸运的是，这个项目是用 docker 部署的，所以，简单粗暴，我直接停止了 docker， 并且直接把这个容器删除，就出门了（这也导致了我上面截图中展示的... 无法查看告警详情了）。
本以为到此为止了，结果，周日中午，阿里云又打来了电话，并且还发送了站内信。
事情似乎没那么简单，docker 逃逸？ 我的主机被留了后门？
由于容器被我直接删了，很多云告警通知已经查看不到详情了。就只能根据一些历史记录，注意排查了一下宿主机的进程、服务等，都没有发现异常，好在阿里云还赠送了限时的“病毒查杀”功能，但是没有查杀到病毒信息，看来，宿主机上暂时还没有被病毒感染，但攻击者应该是留了后门。
telnet 是开启的，并且连接了一个外网地址。 正常来说，我是没有使用过 telnet 的。
先 kill 掉进程，然后卸载了 telnet 服务
自用的服务器排查起来比公司的服务器顺利多了，因为服务本来就少，而且都是自己安装的，没有发现其他什么异常。
先到此为止了，看看今天云安全告警中心还会不会再有告警通知吧，如果还告警再更新。
原文始发于微信公众号（网安小趴菜）：我被黑客入侵了？？？
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
点赞
http://cn-sec.com/archives/4763132.html
复制链接
复制链接
-
左青龙
- 微信扫一扫
-
-
右白虎
- 微信扫一扫
-
评论