【待反馈】Nginx 1.22.1版本，每半小时就会被修改Nginx的配置

为了能快速了解并处理您的问题，请提供以下基础信息：

面板、插件版本：

8.2.0

系统版本：

CentOS 7

问题描述：

Nginx 1.22.1版本，每半小时就会被修改

Nginx的配置文件，挂马跳转到一个黄色网站，目前安装了

堡塔企业级防篡改 - 重构版 3.7限制

Nginx的配置文件目录暂时能防止被自动修改配置文件，下图是防纂改的日志截图，不知是宝塔被驻留了木马程序被定时修改配置文件还是别人获取了服务器权限修改的，目前有什么办法找出这个定时修改的木马程序？有其他朋友碰到相同问题吗，有什么解决方案？自行修改了root账号密码，修改面板登录地址和密码，开启动态口令登录，都没用，防纂改日志还是显示每半小时自动修改文件信息。

相关截图（日志、错误）：

补充下：Nginx卸载重装任何版本都没用，还是会被自动定时修改配置文件！！

您好，看到您这边显示是root用户对文件进行了一个修改，您看一下是否可以使用软件商城中的“微步木马检测、木马查杀工具、网站文件监控”这些对文件进行一个扫描，其次使用“宝塔系统加固”这样用户就无法对文件进行修改

运维技术阿闯 发表于 2024-5-28 10:18
您好，看到您这边显示是root用户对文件进行了一个修改，您看一下是否可以使用软件商城中的“微步木马检测、 ...

好的，我试试看这些工具能不能查杀出木马文件！！

yuliang 发表于 2024-5-28 14:07
好的，我试试看这些工具能不能查杀出木马文件！！

好的，您也可以看一下防篡改的历史纪录
在您被篡改文件打开后下边有个历史版本

运维技术阿闯 发表于 2024-5-28 14:20
好的，您也可以看一下防篡改的历史纪录
在您被篡改文件打开后下边有个历史版本 ...

查看了纂改记录的历史版本显示如下图。

yuliang 发表于 2024-5-28 18:23
查看了纂改记录的历史版本显示如下图。

您好，后台私信一下您的面板登录链接吧，这边查看一下

运维技术阿闯 发表于 2024-5-28 18:27
您好，后台私信一下您的面板登录链接吧，这边查看一下

已经把宝塔登录信息发送给你

yuliang 发表于 2024-5-28 18:51
已经把宝塔登录信息发送给你

通过文件足迹显示的文件，我删除了tmp目录下图片中标箭头的文件，目前每半小时的自动修改已经停止，不知是不是我真正删除了木马，继续观察中。

可以安装一个入侵检测的软件、

软件商店搜索堡塔入侵检测

这个可以配合防篡改找到具体的是那个进程、修改的。进程id 进程的详细信息。

宝塔技术-小强 发表于 2024-5-28 21:03
可以安装一个入侵检测的软件、

软件商店搜索堡塔入侵检测

好的，已经安装，继续观察中！！

自动篡改又继续运行了，看来上面删除的文件和这个木马没关系，每半小时一次！！现在还好有防纂改限制，不然头都要大

yuliang 发表于 2024-5-28 21:46
自动篡改又继续运行了，看来上面删除的文件和这个木马没关系，每半小时一次！！现在还好有防纂改限制，不然 ...

您好，请看一下私信

运维技术阿闯 发表于 2024-5-29 09:24
您好，请看一下私信

已经回复您私信

yuliang 发表于 2024-5-29 13:25
已经回复您私信

防篡改是拦截中，修改文件目前未找到根源，需要联系一下厂商看机器是否为二次利用的