【已完成】疑似宝塔文件被篡改问题

为了能快速了解并处理您的问题，请提供以下基础信息：

面板、插件版本：8.0

系统版本：CentOS 8.4.2105 x86_64(Py3.7.9)

问题描述：

/www/wwwroot/ceshi.com 是网站目录，清空网站目录内的全部文件（怕会有隐藏文件，我就新建了个目录，老目录删掉）

然后 新建/www/wwwroot/ceshi.com/index.php，内容空白，这个目录就这一个文件

理论上访问就是空白内容了，但是手机端访问会自动调整到色情网站（pc访问正常），如果把index.php删掉的话，就正常404页面

  相关截图（日志、错误）：

这种情况是宝塔哪个文件被篡改了呢

您好，检查一下nginx或者apache的配置文件是否被修改呢？看看是不是web服务器的配置中反向代理到非法网站

堡塔运维小林 发表于 2023-7-7 14:02
您好，检查一下nginx或者apache的配置文件是否被修改呢？看看是不是web服务器的配置中反向代理到非法网站 ...

文件路径是多少呢

宝塔用户_neyxfn 发表于 2023-7-7 14:35
文件路径是多少呢

您好，nginx的主配置文件在/www/server/nginx/conf/nginx.conf  ,其它的网站目录在/www/server/panel/vhost/nginx目录下面

● 如果是全部网站都出现这种情况，请去查看下nginx的主配置文件在/www/server/nginx/conf/nginx.conf  
● 如果是个别网站才出现，可查看 /www/server/panel/vhost/nginx目录下面对应的网站nginx文件配置
● 发现是有修改的，就删掉即可
修改后，还是不放心的话，就走下一步
- 查看下插件“网络监控”，浏览网站操作日志，是否有其他人修改了nginx配置文件。
- 如果既没有被修改nginx，日志也没啥问题，手机换一个浏览器，再访问下，看一下会不会被重定向。

今天是23年7月14号，我希望宝塔官方能看到这些话
1.劫持不是一两台几台的问题，今天我遇到这样的情况，把整台服务器重新迁移，从7.4到8.0，nginx 重装，重装后复现
2.迁移过程中，vhost 文件夹下面的部分配置 依旧用的旧的，查看单个有问题的vhost没有问题
3.触发条件，手机端+百度来源+url参数，举例：https://www.norda-china.com/?lYei=.xlsx20230630ygurA
4.应该是nginx层级别,搞不好市面上一大片死亡

1. server
   
2. {
   
3.     listen 80;
   
4.         listen 443 ssl http2;
   
5.         listen [::]:443 ssl http2;
   
6.     listen [::]:80;
   
7.     server_name www.norda-china.com norda-china.com;
   
8.     index index.php index.html index.htm default.php default.htm default.html;
   
9.     root /www/wwwroot/shunxin.hui-ce.cn;
   
10.    
    
11.     #SSL-START SSL相关配置，请勿删除或修改下一行带注释的404规则
    
12.     #error_page 404/404.html;
    
13.     #HTTP_TO_HTTPS_START
    
14.     if ($server_port !~ 443){
    
15.         rewrite ^(/.*)$ https://$host$1 permanent;
    
16.     }
    
17.     #HTTP_TO_HTTPS_END
    
18.     ssl_certificate    /www/server/panel/vhost/cert/shunxin.hui-ce.cn/fullchain.pem;
    
19.     ssl_certificate_key    /www/server/panel/vhost/cert/shunxin.hui-ce.cn/privkey.pem;
    
20.     ssl_protocols TLSv1.1 TLSv1.2 TLSv1.3;
    
21.     ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:HIGH:!aNULL:!MD5:!RC4:!DHE;
    
22.     ssl_prefer_server_ciphers on;
    
23.     ssl_session_cache shared:SSL:10m;
    
24.     ssl_session_timeout 10m;
    
25.     error_page 497  https://$host$request_uri;
    
26. 
    
27.     #SSL-END
    
28.    
    
29.     #ERROR-PAGE-START  错误页配置，可以注释、删除或修改
    
30.     #error_page 404 /404.html;
    
31.     #error_page 502 /502.html;
    
32.     #ERROR-PAGE-END
    
33.    
    
34.     #PHP-INFO-START  PHP引用配置，可以注释或修改
    
35.     #SECURITY-START 防盗链配置
    
36.     location ~ .*\.(jpg|jpeg|gif|png|js|css)$
    
37.     {
    
38.         expires      30d;
    
39.         access_log /dev/null;
    
40.         valid_referers none blocked www.norda-china.com norda-china.com;
    
41.         if ($invalid_referer){
    
42.            return 404;
    
43.         }
    
44.     }
    
45.     #SECURITY-END
    
46.     include enable-php-70.conf;
    
47.     #PHP-INFO-END
    
48.    
    
49.     #REWRITE-START URL重写规则引用,修改后将导致面板设置的伪静态规则失效
    
50.     #include /www/server/panel/vhost/rewrite/shunxin.hui-ce.cn.conf;
    
51.     #REWRITE-END
    
52.    
    
53.     #禁止访问的文件或目录
    
54.     location ~ ^/(\.user.ini|\.htaccess|\.git|\.svn|\.project|LICENSE|README.md)
    
55.     {
    
56.         return 404;
    
57.     }
    
58.    
    
59.     #一键申请SSL证书验证目录相关设置
    
60.     location ~ \.well-known{
    
61.         allow all;
    
62.     }
    
63.    
    
64.     location ~ .*\.(gif|jpg|jpeg|png|bmp|swf)$
    
65.     {
    
66.         expires      30d;
    
67.         error_log off;
    
68.         access_log /dev/null;
    
69.     }
    
70.    
    
71.     location ~ .*\.(js|css)?$
    
72.     {
    
73.         expires      12h;
    
74.         error_log off;
    
75.         access_log /dev/null;
    
76.     }
    
77.      location / {
    
78.    if (!-e $request_filename) {
    
79.    rewrite  ^(.*)$  /index.php?s=/$1  last;
    
80.    break;
    
81.     }
    
82. }
    
83.     access_log  /www/wwwlogs/shunxin.hui-ce.cn.log;
    
84.     error_log  /www/wwwlogs/shunxin.hui-ce.cn.error.log;
    
85. }

复制代码

您好，由于您长期未回复，这边先完结这个帖子了，如果您仍需要帮助，您可以重新发帖求助，感谢您的配合！

这个问题的确很严重，关键是不知道什么地方被干了没法处理