【挂马实录】医者不自医，服务器被挂马了

原创

墨雪飘影漏洞平台
墨雪飘影漏洞平台

墨雪飘影

2026年11月2日 08:30
湖北

去阅读

经验主义大翻车，一直裸奔，觉得无所谓，什么都部署，终于吃了一次亏。

56 天 · 约 80 秒 · 16,523 行日志

后门激活，全站点沦陷

披露说明：由于互联网有其他站点仍使用同一套源码(大概率已经被挂马了)，本文仅讨论缺陷原理与取证过程，不公开完整利用参数、攻击载荷及复现步骤。

10月28日服务器被入侵，因为经常有误报，云厂商告警发来，我也没在意，睡觉前看一下，真TM是挂马，本以为是考试系统被挂马，今天查了一上午，最后还是靠 AI 帮我把整个过程还原了出来，考试系统是被跨站的，木马早就进来了，用的不是考试系统。

这次事件最值得记录的，也不只是“中了什么马”，而是一条持续近两个月的攻击链：工具站最先被攻破，攻击者利用同机跨站写入，把后门批量投递到考试系统和图床相关站点，再将受害站点变成灰产引流节点。

入口不在最先告警的站点

云厂商最先发现的是考试系统目录里的恶意文件，本来以为是十年老代码被发现漏洞，毕竟这个源码是网上下载的，也没仔细杀毒，结果让AI看了日志，心里一凉，小比崽子，已经getshell个把月了：

• 初始入口：

9 月 2 日，工具站因代码缺陷遭到入侵，留了个qq163.php、article.php（埋个伏笔）
* 扩散方式：

10 月 22 日，利用工具站后门，在约 80 秒内向三个 webroot 子站点批量写入同款微马 qq163.php。
* 跨站条件：

同机站点共用 PHP-FPM 的 www 用户，且 open\_basedir 实际未形成有效隔离，都getshell了，已经形同虚设。
* 攻击目的：

劫持首页、部署代理脚本与多类后门，将站点用于黑帽 SEO 和黄赌灰产引流。

告警出现时，攻击已经发生了很多次

2026 年 10 月 28 日 19:57:51，云厂商发来主机安全告警：服务器疑似存在恶意文件。

墨雪飘影漏洞收集平台--https://v.mxpy.cn