网站被挂马，我不断删除他们生成恶意的文件，今天把它惹毛了，删除了我的站点代码，目前我掌握的信息如下

[king2014]

1.查看 linux 的操作 history 发现有如下几行命令行记录，其他任何记录都没有，secure 日志也正常，登录 ssd 的 ip 地址都是确定安全的，也可能被黑客删除了登录记录。 1513147165:0;export HISTSIZE=0 1513147171:0;export HISTFILE=/dev/null 2.貌似也只是假设，他只能操作一个站点下面的文件和 tmp 下面生成文件，其他不能操作，不然他可以直接删掉整个服务器，是通过站点漏洞 webshell 等操作实现的吗？

我想问下 1.站点是用了开源的框架（很老已经不维护的那种），一些重要文件我都要做 chatter + i 加过权限的，黑客可以通过站点漏洞 webshell 等删除这些加过权限的文件吗？

2.是不是它获取了整个服务器的 root 权限？所以他可以删除哪些被我加 i 文件

3.接下去我该怎么办，代码倒是有备份，但是找不到问题的源头，他还可以再次删除代码。

4.服务器密码改过后，是复杂的强密码，还是被删除了代码，还直接被挑衅

[Sor]

用云锁监控下试试，拦截未知 webshell,开启个高级防护,先在云平台看一下，不行让他们帮你看看哟

[WuwuGin]

@ixiaohei 很正常，用户多自然病毒多，参考 Windows 和 MacOS 的对比。

[moult]

find 去找最近有修改或创建的文件，看看这些文件是否有异样，可以确定是不是通过 webshell 进来的。
其实楼主的大忌就是 webserver 用了 root 用户，最好单独给一个用户，然后除了 upload 目录以外都给只读，upload 目录配置纯静态访问，就算有漏洞，也只能往 upload 里面写脚本，可是脚本执行不了，也是白搭。

[zsx]

@ixiaohei #19 扫描器而已

[pynix]

目前最危险的还是注入。。。。

[Patrick95]

@ixiaohei #19 扫描器，基本都是 Wordpress 的扫描器。

[Va1n3R]

现在没啥办法了，这样子的项目估计也不是什么重要的系统...直接重装吧。。。留了后门都很难清除，看你的描述,对方的权限肯定不会小...这一般都是提权成功了的，服务器看来补丁打的也是很少...然后还有的建议...别用开源的小程序...都是靶子

[msg7086]

扔进虚拟机里跑呢……
Linux 一旦被人拿到 root 权限，就没有什么他不能做的事情了。删你文件和数据库算是轻的。

[u5f20u98de]

如果进来拿了 root 权限给你装了 rootkit 都是可能的，找 rootkit 有时候也比较难，建议分析出攻击路径重装，如果没能力分析找个懂安全的帮你分析分析
不过也有可能是别的项目出的漏洞把你祸害了

[mcfog]

一直以为被侵入的机器除非故意做蜜罐，拿来再上生产的话肯定是要格盘重装并重新正确配置所有东西的

到底是这其实不是常识还是不具备合格的运维常识却被逼上运维角色的人太多？

[king2014]

@mcfog 被逼上运维人太多。nnd 没办法

[or2me]

看了半天也就 @moult
@mcfog 俩人说的稍微靠谱点.对于楼主这种水平,我觉得还是直接搬到阿里云开启云盾或者装个安全狗有用点.

[greatbody]

如果有持续部署和自动备份，我想你收到的影响不会太大。人家总不至于把服务商都删了吧。

[haitang]

查下 web 日志，如果有注入什么的一般都会有奇怪的 url 访问吧，不过 post 的话就不好查了

[boboliu]

一首凉凉送给楼主

关于安全：SQL 全部 prepare，外来数据全部 HTML escape，基本就稳了

[websafe]

处理方法：先把可疑的文件 查看下修改时间 对比下 自己本地的备份文件 是否有 多余的文件 如果有的话就删除，再看下首页有无被修改 有的话就用备份替换上传 上去，但只能解决一时 还是会被反复篡改,治标不治本 建议找专业的网站安全公 司来处理解决,国内比较有名的 Sinesafe 和绿盟以及启明星辰等都是比较专业的.