nginx 被传了木马

freebsd · 发表于 2010-5-21 20:07:47

原帖由 gdtv 于 2010-5-21 15:02 发表
请教：

tail -n 200000 nginx的日志路径 | grep -iE "*\.(chm|pdf|zip|rar|tar|gz|bzip2|torrent|gif|jpg|jpeg|png|txt)\/.*\.php"

这条命令，能不能改成搜索整个目录里的所有日志文件？ ...

nginx的日志文件路径换成

nginx的日志目录/*

就可以了，如果你的日志全在一个目录下的话

shangpan · 发表于 2010-5-21 22:46:04

感谢分享。

准备好了 · 发表于 2010-5-25 17:26:05

请教一下楼主，查到下面两条结果，但看不明白究竟被入侵成功了没有，

211.155.224.98 - - [23/May/2010:23:11:07 +0800] "GET //ucenter/data/tmp/upload6249.jpg/1.php HTTP/1.1" 200 1728 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 2.0.50727)" -

123.163.162.45 - - [25/May/2010:09:09:31 +0800] "GET /\x22images/smilies/grapeman/12.gif/\x22 HTTP/1.1" 404 571 "http://（网址隐藏）/bbs/viewthread.php?tid=27330" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)" -

fengyn · 发表于 2010-5-25 18:05:26

nginx控制目录执行比较麻烦。。IIS最方便

freebsd · 发表于 2010-5-25 18:06:07

看上面一行的日志，应该是中招了，你再 tail -n 200000 nginx的日志路径 | grep "211.155.224.98"

看人家做了什么后续的入侵动作。

leven · 发表于 2010-5-25 18:59:37

原帖由 准备好了 于 2010-5-25 17:26 发表
请教一下楼主，查到下面两条结果，但看不明白究竟被入侵成功了没有，

211.155.224.98 - - [23/May/2010:23:11:07 +0800] "GET //ucenter/data/tmp/upload6249.jpg/1.php HTTP/1.1" 200 1728 "-" "Mozilla/4.0 (compati ...

危险啊，赶紧检查。。。。

准备好了 · 发表于 2010-5-25 19:28:51

谢谢楼主指点，按照楼主的方法又去查看了日志，确实应该是中招了，211.155.224.98这个IP从23日入侵成功开始，日志记录里这个IP的动作几乎这几天每天都有一长串，长到我都无法贴上来，不知道他在我的网站上忙着布置什么东东，准备用我当跳板攻击白宫吗？

郁闷啊，还是怪我贪玩，21日那几天我出去玩了，没有上网，没有上代购，唉，如果我坚持每天上代购肯定会第一时间知道nigux的这个漏洞，及时把漏洞补上就啥事都没有了。

幸好我每天都做了备份的，为了避免以后更大的麻烦，决定重建系统，23日后的数据全部不要了，宁肯丢几天数据也要彻底清除隐患。

再次谢谢楼主的指点，

准备好了 · 发表于 2010-5-26 13:19:49

损失了几天数据，刚重装好系统，又发现有2个IP来上传php，但是这次我已经补好漏洞了，呵呵。

折腾一个晚上，”血的教训“啊

诡谲 · 发表于 2010-5-26 13:59:20

QQ截图未命名.png (13.75 KB, 下载次数: 4)

全部返回404 后端apache.哈哈

		自动登录	找回密码
密码			注册

[经验] nginx 被传了木马

评分

回复 13# 的帖子

我跑反向代理的.没事