【已回应】nginx + php7.3 这个属于服务器中木马？还是宝塔插

nginx所有站点不管静态还是 php ，任一站点首次访问会出现以下 HTML代码，

<html><body><script>var pv="",qv="",tv,rv=new Array,sv;function nv(ov){for(tv=0;tv<sv.length;tv++)rv[tv]=sv.charCodeAt(tv);for(tv="tv=45;while(true){if(tv<3)break;rv[tv]=(rv[tv]+rv[tv-1])&0xff;tv--;}",eval(tv),tv=4;rv[tv]=rv[tv]^rv[45],rv[tv]=rv[tv]-12&255,rv[tv]=rv[tv]-132&255,++tv<=44;);for(tv=43;rv[tv]=255&~rv[tv],rv[tv]=(rv[tv]-rv[46]&255)<<3&255|(rv[tv]-rv[46]&255)>>5,4<=--tv;);for(sv="",tv=1;tv<rv.length-1;tv++)tv%6&&(sv+=String.fromCharCode(rv[tv]^ov));eval("tv=eval"),tv(sv)}sv='ÂýkÌ³l2D4«tË¡°Hð§CÔ=]öèBÁ×!w§wYîÈ"c0',nv(244)</script><script>for(var u=2;1==u;u++)</script><br><br><br><center><h3><p>访问本页面，您的浏览器需要支持JavaScript</p></h3></center></body></html>

解密结果就是一个 js 跳转,目前来看没啥影响。
window.open(ac+"/?mepuzg=qaw9g1"+bc,"_self");
HTML代码是动态的，区别就是【mepuzg=qaw9g1】这个是随机的

目前已知的规则就是：相同IP 只要访问任一站点出现一次跳转后，其它站点都不会跳转了。
隔天（具体时间间隔没测出，所以说隔天）访问就还是重复上面的规则。

我使用的是宝塔专业版。

大炮运维V587 · 发表于 2019-11-7 15:59:11

这不是宝塔的。

Xeath · 发表于 2019-11-7 17:42:30

这看起来是 waf 防火墙，服务器里面有安装了其它安全软件吗？域名有加 cdn 吗？
有的话，都关闭 waf 防火墙试一下

yamify · 发表于 2019-11-9 14:51:49

Xeath 发表于 2019-11-7 17:42
这看起来是 waf 防火墙，服务器里面有安装了其它安全软件吗？域名有加 cdn 吗？
有的话，都关闭 waf 防火墙 ...

waf 是指宝塔的 nginx防火墙吗？

我安装 php/mysql/redis/ 站点监控、都是常规的软件

yamify · 发表于 2019-11-9 14:53:36

大炮运维V587 发表于 2019-11-7 15:59
这不是宝塔的。

我发现指定到这个服务器的域名，都会被拦截，也不需要没绑定 nginx。

大佬要排查这个，我要先查哪个文件，能不能给个思路

Xeath · 发表于 2019-11-11 11:38:18

yamify 发表于 2019-11-9 14:51
waf 是指宝塔的 nginx防火墙吗？

我安装 php/mysql/redis/ 站点监控、都是常规的软件 ...

宝塔的 Apache 或者 Nginx 防火墙确实是 WAF 一种，但是根据你的描述这应该不是宝塔防火墙拦截，所以很可能是你的 CDN 拦截了。
而采用 JavaScript 过滤 CC 也是 WAF 常见做法，例如 CloudFalre 也是通过 JavaScript 过滤 CC 攻击。
所以你不仅仅要检查宝塔防火墙，也得检查你的 cdn 是否开启了 waf。

█菠萝云买2送1活动！12G内存99元	阿里云国际低折扣多云自助平台	APP分发-无行业限制免审核	A4招租，联系qq394030111	A5招租，联系qq394030111
高防服务器，无视一切流量攻击	【阿里云】宝塔一键部署，低至5折	A8招租，联系qq394030111	【阿里云】宝塔一键部署，低至5折	OV/EV SSL证书，可当日签发
█ 易探云·香港/美国vps仅9元 █	▶CPS云◀海外大带宽vps服务器	OV/EV SSL证书，可当日签发	【云防护】专注域名和网站安全防护	A15招租，联系qq394030111