【已解答】服务器被BT用户执行了脚本并创建了一个进程，请

服务器被定时执行了可疑命令，如下：
用户名: bt
命令行: php -r eval(gzinflate(base64_decode("bU/RagIxEPwVDfuwwQiJpYVyps/9BxEJzUqXxqtcUjw5/Hc3jRaEJg+bzMzO7sDoh9BHdMZZq7vZ/ntAYG874LWz3WIBrCc4cvTHj76knfBfKDre47zCepIX97swDOGMMRRC9c5Km42ycpRRq1Ur9bfV/+kP8VfvnKtCKe4uhHH9bPUUmWQpmXqZXShlaszrIwOpJXmy5qUmgewLH6gue/rkROgkCP1h1YOWkN8gPQ643dbTQp8CF8mK1kAuofxkPfdLsbuxNHJpON55cboC")));
进程路径: /www/server/php/73/bin/php
进程ID: 22065
父进程文件路径: /usr/bin/bash
父进程ID: 17843


请问下大神或官方要怎么解决，没查找到文件，有什么方法能解决或者官方有什么产品能解决的，请求帮助下

您好，这是php进程，正常的

运维阿宏 发表于 2020-11-11 14:28
您好，这是php进程，正常的

我知道这是PHP的，这命令肯定是有人去执行的啊，不可能PHP自己去执行吧，我们工作同事没有人去执行过这个命令，难道是服务器自己执行的？

执行脚本？是不是定时备份网站备份数据库或者其他定时的脚本？之前在BT面板设定好了的？

宝塔用户_bicwpo 发表于 2020-11-12 09:31
执行脚本？是不是定时备份网站备份数据库或者其他定时的脚本？之前在BT面板设定好了的？ ...

不是。这是有人恶意执行的，并非公司内人员，不知道是通过什么方式登录用BT用户的来执行的，每天整天执行一次

正常个毛，楼上的运维是不懂代码吧。。。这段代码解码出来就是一段 php 代码，，，我能看懂，但是没看懂这段代码的目的是啥？？？不过总感觉不正常。。。。

不过正常的 php 程序应该不会这么执行任务的，你这个有可能是被爆破提权了。。。

这是解码出来的 php 代码：

1. 
   
2. $x = rand(1, 100);
   
3. for ($i = 0; $i < 10; ++$i) {
   
4.     $pid = pcntl_fork();
   
5.     if (!$pid) {
   
6.         if (in_array(date("Hi"), ["0000", "2200", "2000"])) {
   
7.             if (in_array(date("md"), ["1110", "1111"])) {
   
8.                 if ($x < 50) {
   
9.                     die($i);
   
10.                 }
    
11.             } elseif ($x < 90) {
    
12.                 die($i);
    
13.             }
    
14.             $l = rand(30, 60);
    
15.             $s = time();
    
16.             while (1) {
    
17.                 $e = time();
    
18.                 if ($e - $s > $l) {
    
19.                     die($i);
    
20.                 }
    
21.             }
    
22.         }
    
23.     }
    
24. }
    
25. while (pcntl_waitpid(0, $status) != -1) {
    
26.     pcntl_wexitstatus($status);
    
27. }
    

复制代码

使用pcntl_fork函数无限制创建进程，检查一下程序内是否有其他异常计划任务或者异常进程。
建议找专业查杀检查一下看看

怎么发现这个执行日志的？

宝塔用户_gdzndy 发表于 2020-11-13 00:22
怎么发现这个执行日志的？

阿里云提示的

mingxue 发表于 2020-11-12 11:17
正常个毛，楼上的运维是不懂代码吧。。。这段代码解码出来就是一段 php 代码，，，我能看懂，但是没看懂这 ...

是的，是这个代码，我也不知道他执行了什么，只是看到当时创建了一个进程

宝塔用户_jgpryf 发表于 2020-11-13 09:38
是的，是这个代码，我也不知道他执行了什么，只是看到当时创建了一个进程 ...

有可能是无限创建进程，导致系统卡顿，，，

看看vim /etc/passwd
这里是不是有一个bt的用户