我是一名代码爱好者，建站小白，15年开始建站，期间建站无数。4年前，我小轻论坛PC6，移动5，这样的网站被黑客攻击，惨杂涉黄违法页面，导致网站权重下降，最终被网信办查处，我痛心疾首，做过网站的人都清楚这个权重是什么级别。

今年，我有心做好网站，我服务器某网站周收180个页面的网站又被黑客攻击，导致月收80条，我忍无可忍。因为工作的原因，一直没有及时处理这个问题，但是闲下来了，我就做了排查，并借助AI解决了这个木马，并分享了这篇文章。

还好有AI的存在，由于我需要尽快解决这个问题，首先我问了豆包，怎么去解决这个问题，它并没有给我比较合适的方案，反正几轮盘查下来，我发现并没有什么用。

然后我用workbuddy做了一个网站安全检测的功能，如图：

但是据workbuddy分析，网站从源码和安全检测中的信息，并没有发现根本原因，导致网站恶意跳转的情况。

过了若干天，我发现服务器的几个网站都接连中招，都是出现了这个跳转，而且页面一样，重启服务器和检查源码都没有发现问题，那这个时候只能是服务器有问题了。

因为发现要装nslookup，我问了豆包，豆包说先用 curl 先判断是不是服务端跳转：

curl -A "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.36" -I https://xxx.xxx

注：其中https://xxx.xxx是我的域名，以下均是，不作备注。

接着跟着豆包执行这条，下载页面并检索恶意域名、跳转 JS：

各种分析结果说，依旧没问题：

接着，全站递归检索网站目录：

cd /www/wwwroot/xxx.xxx
# 搜索恶意域名片段
grep -r "olkllw" ./ --include=*.php --include=*.js --include=*.html --include=*.htm
grep -r "cvkb2p" ./ --include=*.php --include=*.js --include=*.html --include=*.htm
# 搜索混淆特征，很多木马不会直接写完整域名，拆分字符串拼接
grep -r "fromCharCode" ./ --include=*.php
grep -r "String.fromCharCode" ./ --include=*.php
grep -r "eval(" ./ --include=*.php
grep -r "base64_decode" ./ --include=*.php

接下来，我发现豆包是不清楚是什么情况（跟AI对话，表达很重要），然后乱分析：

大家注意，我这里第一说了具体情况，第二说了我的推测，这个很重要，一个是介绍情况，一个是给出方向。

接下来，事情就变得简单了，她给了一些操作步骤：

接下来，我把最关键的内容，直接copy下来，供大家学习参考，以便我表述不当，导致大家理解不清晰：

① 先查 Nginx 全局配置（重中之重）

执行命令，全局 nginx 配置里面搜恶意特征：

grep -r "cvkb2p\|olkllw\|location.*return\|rewrite\|lua" /www/server/nginx/conf/

另外查找 nginx 有没有被加载恶意 lua 脚本（很多劫持是 lua 实现的，条件注入 JS）

grep -r "content_by_lua\|access_by_lua\|header_filter_by_lua" /www/server/nginx/conf/

⚠️ 检查宝塔 Nginx 是否被替换 / 加装第三方模块：

看编译参数里有没有陌生的模块，非官方宝塔自带的 ngx 模块。

② 检查全局前置注入：nginx 的 response 过滤、第三方 WAF / 防火墙插件

很多人装了不知名的宝塔 WAF、防护插件、广告插件，插件本身被黑，全局插广告； 去宝塔【软件商店】→【已安装】，看有没有不知名、非官方的 WAF、流量过滤、广告插件，先全部暂停测试。

③ 检查系统预加载、rootkit 类劫持（系统中毒方向）

# 检查LD_PRELOAD恶意劫持
echo $LD_PRELOAD
ls /etc/ld.so.preload
cat /etc/ld.so.preload

 文件，就是 rootkit 流量劫持，属于系统中毒。

# 检查开机自启项、可疑定时任务（黑客用来维持后门）
crontab -l
ls /etc/cron.d/
ls /etc/rc.d/rc.local
cat /etc/rc.local


④ 检查有没有全局代理、iptables / 防火墙流量劫持

看有没有陌生的 REDIRECT、DNAT 规则劫持网页流量。

好，到这里，就清晰了，发现有一个LD_PRELOAD 劫持（用户态 rootkit）：

1. 临时清除劫持（在线临时解除，先验证）

# 清空预加载配置
echo "" > /etc/ld.so.preload
# 删除恶意库文件
rm -rf /usr/local/usranalyse/
# 重启nginx，让旧带劫持的进程退出
systemctl restart nginx

维持复活！ 你看你的 crontab 里面一大堆不明的定时脚本：

*/20 * * * *  /www/server/cron/4794a799fb67d361ed0dc4a85cb51106
*/20 * * * *  /www/server/cron/e12fa49d54e93e12cd480fa074f1ba49
...
*/5 * * * *  /www/server/cron/39f929e57cb00212244d15683db53770

这些定时任务就是木马守护程序：

检测 libusranalyse.so 不存在，就自动重新写入 /etc/ld.so.preload、恢复 so 文件

，所以只删 so，不清理定时，过几分钟又会恢复劫持！

# 先备份当前定时任务
crontab -l > cron.bak
# 清空当前root的定时任务
crontab -r

ls /www/server/cron/
# 把这些随机名字文件全部删除
rm -f /www/server/cron/4794a799fb67d361ed0dc4a85cb51106
rm -f /www/server/cron/e12fa49d54e93e12cd480fa074f1ba49
rm -f /www/server/cron/39385ff7fb225ce3943bb324427c5a13
rm -f /www/server/cron/0ca30d8325d26f760434a9b9f416f197
rm -f /www/server/cron/a9c8d5bb98c0abb536474feff468a8da
rm -f /www/server/cron/699ae809694fc9cb687674d18ec92ca3
rm -f /www/server/cron/85f0ba47db1a750bae483377fe101d0d
rm -f /www/server/cron/d8b634eeb66ca33e15c4760b446ac1c6
rm -f /www/server/cron/3ab48c27ec99cb9787749c362afae517
rm -f /www/server/cron/10657007673739a1bff5db050e6893e2
rm -f /www/server/cron/0fba96ac99e74926b4973efa5c632d9a
rm -f /www/server/cron/39f929e57cb00212244d15683db53770

# 查找有没有usranalyse相关进程
ps aux | grep usranalyse
ps aux | grep -E "libusranalyse|usranalyse"

我不懂crontab任务怎么查，不懂就问：

接着就根据豆包的办法找到了木马守护定时任务：

第一步：备份（留底，以防万一）

第二步：清空 root 全部定时任务

第四步：删除这些木马脚本文件（就是定时任务调用的程序）

rm -f /www/server/cron/4794a799fb67d361ed0dc4a85cb51106
rm -f /www/server/cron/e12fa49d54e93e12cd480fa074f1ba49
rm -f /www/server/cron/39385ff7fb225ce3943bb324427c5a13
rm -f /www/server/cron/0ca30d8325d26f760434a9b9f416f197
rm -f /www/server/cron/a9c8d5bb98c0abb536474feff468a8da
rm -f /www/server/cron/699ae809694fc9cb687674d18ec92ca3
rm -f /www/server/cron/85f0ba47db1a750bae483377fe101d0d
rm -f /www/server/cron/d8b634eeb66ca33e15c4760b446ac1c6
rm -f /www/server/cron/3ab48c27ec99cb9787749c362afae517
rm -f /www/server/cron/10657007673739a1bff5db050e6893e2
rm -f /www/server/cron/0fba96ac99e74926b4973efa5c632d9a
rm -f /www/server/cron/39f929e57cb00212244d15683db53770

第五步：处理核心劫持 so（libusranalyse.so）

echo "" > /etc/ld.so.preload
rm -rf /usr/local/usranalyse/
systemctl restart nginx

第六步：检查有没有残留的木马进程

由于没有进程了，甚至过了很久我也没查到相关进程。

关于服务器被入侵，AI杀毒的解决办法

4年前，我小轻论坛PC6，移动5，这样的网站被黑客攻击，惨杂涉黄违法页面，导致网站权重下降，最终被网信办查处，我痛心疾首，做过网站的人都清楚这个权重是什么级别。今年，我有心做好网站，我服务器某网站周收180个页面的网站又被黑客攻击，导致月收80条，我忍无可忍。因为工作的原因，一直没有及时处理这个问题，但是闲下来了，我就做了排查，并借助AI解决了这个木马，并分享了这篇文章。

会员

前端

建站多年遭遇黑客攻击致网站被罚，深入排查发现LD_PRELOAD劫持与定时任务后门，通过清理crontab、删除恶意so文件及重启Nginx成功断根，并提供长效防护建议，助力站长解决网站被恶意跳转问题。

服务器

防火墙

WorkBuddy 

CentOS

Nginx

WorkBuddy企业版限时双倍 Credits 活动

workbuddy

热销域名限时优惠，新客首年免费！


domain

2026上云采购 | AI焕新·智启新局

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

关于服务器被入侵，AI杀毒的解决办法

关于服务器被入侵，AI杀毒的解决办法

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐