记一次清除木马 经历

网站被挂马，出现访问不明url。url 居然还判断refer来源，只有百度的才会跳转。其他refer或直接访问404.

- 1. 扫描目录下， 带有baidu 或user_agent的字符文件，没有。

- 2. 怀疑服务器vhost 被篡改. 在*.com.conf中找到：

location ~ \.php(.*)$ {
                fastcgi_pass  unix:/tmp/php-55-cgi.sock;
                fastcgi_index  index.php;
                fastcgi_param  SCRIPT_FILENAME  $DOCUMENT_ROOT$fastcgi_script_name;
                fastcgi_param PATH_INFO $2;
                include fcgi.conf;
        }

指向了/tmp/php-55-cgi.sock 文件。这里面有问题。果断清除 这段代码。

- 3. 因为服务器上有云锁，一直没用。基于这个情况，打开文件防护功能

- a.先将nginx的配置目录设成不可，不允许创建修改

- b. 将网站全站，设成不允许创建修改，然后把  cache, upload, 存放静态页的目录 排除后，搞定