如何删除注入服务器的恶意代码？

Question

我在我的some服务器上发现了一些与这完全相似的恶意代码。我的问题是：

• 我怎么知道这段代码是从哪里注入的？
• 没有我的服务器凭据，怎么能有人在我的服务器上注入代码呢？
• 如何防止将来注射？

注意:我检查了其他类似答案的步骤，但尚未找到解决方案。

Answer 1

没有我的服务器凭据，怎么能有人在我的服务器上注入代码呢？

使用SSH窃取的密钥、FTP匿名连接或服务器执行的文件(即:写入服务器FS的PHP文件)

我怎么知道这段代码是从哪里注入的？

请参阅日志(bash/FTP/您的服务器代码日志系统，如果有)。您可以查找何时编写(使用文件的修改日期或比较备份)，并检查服务器的访问日志以了解IP以及它们如何注入代码。另外，由于服务器现在被绑定到数据库，所以可能是两步注入:在DB中注入代码，然后让另一个调用(CRON或HTTP访问)将DB内容写入文件。

如何防止将来注射？

更新服务器的凭据(包括DB)，不要从执行的代码中写入任何文件。此外，不要从服务器代码中调用任何shell执行函数(即:调用exec的PHP可能会将内容写入文件)。喜欢社区工作(即:开源解决方案)，而不是定制的东西:它们通常更安全。