关注网络资源
用心与您分享

VestaCP存在的gcc.sh漏洞及检测、清除方法

提示:如果官网是英文页面,建议使用谷歌浏览器能同步翻译页面。点击下载【谷歌浏览器最新绿色便携版】
投稿QQ:768187171、投稿邮箱:768187171@qq.com,博文推送Telegram频道:https://t.me/wn789

VestaCP,本站推荐的web管理面板,现在被爆出漏洞,下面是检测、清除方法。

所有命令均在SSH下运行:
1、首先确定是否被黑客入侵。

find /etc -name gcc.sh -print

如果显示 /etc/cron.hourly/gcc.sh ,表示已被种了木马。

2、如果种了木马,备份所有数据

3、阻止gcc.sh

chmod 0 /etc/cron.hourly/gcc.sh; chattr +ia /etc/cron.hourly/gcc.sh; chattr +i /etc/crontab

4、寻找木马
它有两个版本:一个称为update,第二个(更新)为随机生成的名称(如 ahzihydns,rangqpbjp)。
a、使用lsof寻找update木马

lsof -n |grep /tmp/update

update 31116 root txt REG 253,2 625611 146301 /tmp/update
update 31116 31124 root txt REG 253,2 625611 146301 /tmp/update
update 31116 31125 root txt REG 253,2 625611 146301 /tmp/update
update 31116 31126 root txt REG 253,2 625611 146301 /tmp/update

类似update这样的进城,停止掉他们

kill -STOP 31116

然后删除他们

rm /tmp/update

最后kill掉他们

kill -9 31116

如果存在 /etc/init.d/update,删除。
最后,删除/lib/libudev.so

rm /lib/libudev.so

b、删除随机的木马
这个比较难,先检查 usr/bin中是否有可以进程

# ls -lt /usr/bin | head -20
итого 171828
-rwxr-xr-x 1 root root 625622 апр 4 00:01 xmpwotmqnr
-rwxr-xr-x 1 root admin 625633 апр 3 23:55 lluoohrpal
[...]

类似这样的进程,让我们尝试停止和删除进程。

kill -STOP `lsof -n | egrep "625622|625633" | grep -v deleted| awk '{print $2}' | uniq`

查看要删除的文件列表:

# lsof -n | egrep "625622|625633"
xmpwotmqn 1120 root txt REG 253,2 625622 1519267 /usr/bin/xmpwotmqnr
xmpwotmqn 1120 1169 root txt REG 253,2 625622 1519267 /usr/bin/xmpwotmqnr
xmpwotmqn 1120 1170 root txt REG 253,2 625622 1519267 /usr/bin/xmpwotmqnr
xmpwotmqn 1120 1171 root txt REG 253,2 625622 1519267 /usr/bin/xmpwotmqnr

删除/usr/bin/xmpwotmqnr,/usr/bin/lluoohrpal,还有/lib/libudev.so。
先停止先前的进程:

kill -9 `lsof -n | egrep "625622|625633" | awk '{print $2}' | uniq`

检查/etc/init.d下是否有留下一些恶意代码。比如:

-rwxr-xr-x 1 root admin 323 апр 3 23:55 xbzrqmaaqo
-rwxr-xr-x 1 root admin 323 апр 3 23:55 xdphzejxlx
-rwxr-xr-x 1 root admin 323 апр 3 23:55 xdzluubldx

如果有很多这样的文件,可通过find找到它们,然后删除

find /etc/init.d/ -type f -size 323c -delete
-rwxr-xr-x 1 root admin 323 апр 3 23:55 xgqggmacwf
-rwxr-xr-x 1 root root 323 апр 8 13:50 xmpwotmqnr

5、使用clamav检查
Centos安装clamav

yum install clamav

Debian / Ubuntu安装clamav

apt-get install clamav

然后,开始扫描

clamscan -r -i /

6、最后,还是建议登录IP使用指定IP。

via:https://itldc.com/blog/vozmozhnaya-uyazvimost-v-vesta-i-sposob-lecheniya-ot-trojan-ddos_xor/

以上全文转自@主机百科

未经允许不得转载:蜗牛789 » VestaCP存在的gcc.sh漏洞及检测、清除方法
支付宝扫码打赏 微信扫码打赏

如果文章对您有帮助,欢迎点击上方按钮打赏蜗牛

评论 抢沙发

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址