上一篇聊 PHP2Shell 的补法，这篇算後续。 去补漏洞的那天，我在主机上撞见了别的东西。跟 PHP 没关系，而且对方已经在里面 待了一百天。 细节不方便讲太多，这篇只讲手法，还有大家可以怎麽自己检查。 先说怎麽发现的 先讲一下背景。我们平常是权责分离的：主机归运维管，写程式的人不拿主机权限，程 式交给部署流程上线就好。 这是对的做法，开发的人本来就不该随手能 root 进正式机。 这次会进去，是因为那几台跑的是旧版 PHP，官方不出修补，要自己把修补编进去、重 新打包，再到主机上调整设定、确认服务正常。 这种事运维一个人不好处理，才临时开权限让我上去一起弄。 换句话说，要不是这次 PHP 刚好要自己编，我根本不会进到那几台，也就不会发现。 升级之前我习惯先看一下主机现况：跑了哪些程式、连去哪里、最近多了什麽档案。 ps 列出来，有一行看起来像 Linux 核心自己的工作执行绪（kworker）。 这种东西每台主机都有一大堆，平常没人会多看一眼。 但它有两个地方怪怪的： 1. 名字少一截，格式跟真的 kworker 对不上。 2. 它的「父程序」是 1。真正的核心执行绪，父程序一定是 2。 打个比方，就是有个人穿着公司制服在办公室走来走去，但他挂的员工证是别家公司发 的。 顺着程序往回追，本体是一个藏在 systemd 系统目录里的隐藏档。 档名前面有个点，ls 预设看不到；名字还取得很像云端服务自己的东西，放在云端主 机上一点都不突兀。 它能做什麽 把档案里的字串捞出来看，功能大概有：远端开 shell、上传下载档案、看萤幕、键盘 侧录、port 转发、自我更新。 就是一支完整的远端控制木马，Go 写的。 CPU 几乎不吃，没在挖矿，监控图上什麽都看不出来。它就只是安静地待着，等人来用。 启动时间是 7/15 下午 3:38，到我发现那天刚好一百天。 两天後，对方还用它开了两个 root 的互动视窗，开到现在都没关。 它怎麽跟外面联络 一般木马会去连某个 IP 的某个 port，防火墙有机会挡下来。这只走 DNS。 DNS 就是电脑在问「这个网址的 IP 是多少」的那个查询。 几乎每台主机都允许对外查 DNS，不然连网址都解析不了。 它把要传出去的资料编进查询的网址里，一路问到攻击者自己架的 DNS 伺服器，对方 再把指令夹在回答里传回来。 防火墙看到的，就只是主机在查网址而已。 不只一台 拿同样的特徵去扫其他主机，不只一台中。 有的还多做了一步：注册成 systemd 服务，名字取得像系统更新程式，挂掉会自己重 启。 把档案时间拼起来： 7/11 下午 最早被放东西的一台 7/1x 15:34 另一台 7/1x 15:38 再一台 7/2x、7/3x 又各放了一支不同的程式 15:34 跟 15:38，两台只差四分钟。 自动化病毒不会这样打，这是有人坐在电脑前，一台一台登进去放的。 从哪里进来的？ 这是我最在意的：是不是 PHP 漏洞？ 查完的答案是：这次跟 PHP 无关。 - PHP2Shell 是 10/21 才公开的，入侵发生在 7 月 - 网站目录没找到 webshell - 最关键的证据在木马程序身上留下的环境变数：看得出来是有人用一般帐号登入，su do 切成 root，再手动把它跑起来 所以对方是拿着某组合法的登入凭证，从正门走进来的。 防火墙、WAF、PHP 修补，对一个拿着钥匙走正门的人，都没有用。 遇到这种事该怎麽处理 上一篇提到「最高权限只用一瞬间」。这次对方一进来就拿到 root，那招帮不上忙， 只能事後收拾。大方向是： 1. 先留证据再动手。程序资讯、网路连线、木马副本、档案指纹都存下来，不然之後 什麽都查不了 2. 清除。先把程序暂停再砍，删档，连它注册的 systemd 服务一起拿掉 3. 换钥匙。这步最重要。对方开过键盘侧录，主机上的密码、金钥、.env 都只能当作 已经外流，全部换掉 4. 其他升级先缓一缓。主机都被人拿走了，先换 PHP 意义不大，还会破坏现场 手法本身都是老招：伪装核心执行绪、Go 写的木马、DNS 隧道、systemd 常驻，在几 份公开的 APT 报告里都看得到。 老招还能用，代表大部分主机根本没人在看。 你也可以花 5 分钟检查一下 给有在管 Linux 主机的朋友，几个简单的检查： # 1. 找冒牌核心执行绪（名字有中括号，父程序却不是 2） ps -eo pid,ppid,args | awk '$3 ~ /^\[/ && $2 != 2 && $1 != 2' # 2. systemd 跟暂存目录里有没有隐藏的执行档 find /usr/lib/systemd /lib/systemd /tmp /var/tmp /dev/shm -xdev -name '.*' -type f # 3. 最近新增、又不属於任何套件的执行档（CentOS/RHEL；Ubuntu 改用 dpkg -S） find / -xdev -path /proc -prune -o -type f -size +500k -perm -u+x -newermt 2026-06-01 -print 2>/dev/null | xargs -r rpm -qf 2>&1 | grep 'not owned' # 4. 有没有程序在对外部 IP 查 DNS ss -tunap | grep ':53 ' 第 1 条有输出，就值得好好看一下。 最後 原本只是想升个 PHP，因为要自己编译才临时拿到权限，升级前又多看了一眼。 权责分离本身没有错，但它也代表一件事：开发的人看不到主机，运维忙着维持服务正 常，那个「有没有多一个人住在里面」的问题，很容易变成没有人负责。 要不是这次刚好进去，它现在应该还在那边安静地待着。 补漏洞之前，先看看家里有没有多住一个人。 -- Key君:「哈哈哈哈哈哈，我就是後宫之王——杉崎键！ 我是为了野心不惜伤害重要的人， 但同时为了让她幸福也不怕万苦的男人！」 --

※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 122.116.54.124 (台湾) ※ 文章网址: https://webptt.com/cn.aspx?n=bbs/Soft_Job/M.1792761416.A.C96.html 容器化确实比较好砍掉重练 但这次是帐号外泄 换k8s帐号一样掉还是一样 有EDR或DNS监控的话这只早就被抓了 问题就是很多公司两个都没有 ※ 编辑: lance70176 (122.116.54.124 台湾), 10/25/2026 03:45:03