oneinstack 一键脚本被挂马，近期有使用该脚本的请注意！

[vsean]

https://github.com/oneinstack/oneinstack/issues/487

oneinstack 的一键安装脚本被发现有人挂马

可能是最近几天的事情

近期有使用过该脚本的请查看下面文件的第 137 行，是否有木马脚本

/root/oneinstack/include/openssl.sh

简单流程：

• 执行 ./load linux@QWE

• 程序会检查是否 RedHat ，目前只针对 RedHat 系列，debian/ubuntu 系列不执行后续

• 下载 s.jpg 并释放到 /var/crond/ 目录，释放文件 cr.jpg 和 install 可执行

• 执行 ./install 释放 cr.jpg 到 cr 目录，文件：ba 、cr 、snc 、libaudit.so.2 ，并注册服务

• 后面就是日常操作，取得控制权，成为 rbq.

[LLaMA]

大概率是镜像赞助商挂的，搞不好就是作者挂的，国产的开源项目光这两个月已经出过好几起事情了，例如前几天 trojan 还是什么协议的一键搭建脚本自动上传建好的节点密码给作者的事情还没过去多久

[vsean]

@benrezzagmehamed #1 作者自己的可能性很小，估计是分发的时候哪里出了问题

[LLaMA]

@benrezzagmehamed 一个多月前的事情 /t/928400

[lower]

我靠，幸好我只熟悉 Ubuntu😂
看来以后应用尽量搞虚拟化跑容器里面了……

[vsean]

@lower #4 这个挂马的人，有针对性的，用红帽的基本都是不差钱的企业

[Daeyn]

从不用一键脚本哈哈

[wzw]

@Daeyn 一键也有好处吧。要不然搭建 20 个 Wordpress ，怎么管理和环境。

[Daeyn]

@wzw 要么自己写要么 rsync

[dif]

自己摘抄出来做成自己的就行。代码能挂马，那源码包之类的搞不好也能，官网好像也没提供 md5sum 。