今天翻 nginx 日志发现了远程代码执行攻击

今天闲着没事上了我的新加坡服务器，看看访问我网站的用户用的什么 UA

zcat access.log.*.gz | cut -d '"' -f6 | grep -v '^-$' | grep -v 'Mozilla' | sort | uniq -c | sort -k1,1n

不用 Mozllia 就相当于宣布自己不是人类，最多的是Go-http-client/1.1其次是curl/7.54.0，估计都是一些自动化扫描工具，其中有一个 UA 非常奇怪

开头类似于一种模板插值语法，末尾疑似 Base64
拿去 base64 解码一下，果然不是好东西 根据架构下载对应二进制，然后执行这个二进制

下载后果然是可执行

尝试分析一下 很奇怪的东西，反汇编不管用，也没有常见的 elf 段
使用strings命令看看内嵌的字符串，大部分都是乱码 似乎还加壳了

不禁感慨互联网黑产真可怕，哪天被黑了也完全不奇怪！