【安全圈】突發(fā)！BT面板Nginx服務器遭批量攻擊

關(guān)鍵詞

黑客攻擊

一、事件核心概況

據(jù)網(wǎng)絡安全公司DATADOG發(fā)布的安全報告顯示，黑客正利用React2Shell 漏洞（CVE-2025-55182，遠程代碼執(zhí)行類漏洞）發(fā)起針對性攻擊，寶塔面板及NGINX 服務器成為主要攻擊目標，得手后黑客會篡改服務器配置，將網(wǎng)站流量劫持至非法博彩網(wǎng)站，目前攻擊已覆蓋多個地區(qū)域名。

二、攻擊目標與影響范圍

1. 1、核心受攻擊載體：使用寶塔面板管理的 NGINX 服務器，寶塔面板為國內(nèi)常用免費服務器圖形化管理工具，NGINX 為業(yè)界廣泛使用的開源反向代理服務器；
2. 2、針對性域名：亞洲頂級域名搭建的網(wǎng)站，包含.in（印度）、.id（印尼）、.bd（孟加拉）、.th（泰國）、.edu、.gov，同時涉及南美洲秘魯.pe 域名；
3. 3、影響后果：被攻擊網(wǎng)站的流量會隨機跳轉(zhuǎn)到非法博彩網(wǎng)站，尤其搜索引擎訪問時跳轉(zhuǎn)概率更高，網(wǎng)站運營者會丟失正常流量，同時用戶訪問體驗受損，還可能面臨合規(guī)風險。
4. 
   

黑客利用 NGINX 原生proxy_pass 指令（流量轉(zhuǎn)發(fā)常用指令）添加轉(zhuǎn)發(fā)模塊，因該指令為正常功能，不會觸發(fā)安全警告；同時偽造Host、X-Real-IP、User-Agent、Referer等合法請求頭，若無人工檢查配置文件，極難發(fā)現(xiàn)篡改痕跡。

2. 多階段腳本工具包：自動化批量滲透

黑客使用包含zx.sh、bt.sh、4zdh.sh、zdh.sh、ok.sh的腳本化工具包，實現(xiàn)自動化 NGINX 配置注入，各腳本分工明確：

• zx.sh：初始控制腳本，負責下載并執(zhí)行其他腳本，含備用下載機制，curl/wget 不可用時通過 TCP 發(fā)送 HTTP 請求；

• bt.sh：針對性攻擊寶塔面板，根據(jù) server_name 值動態(tài)注入配置模板并覆蓋，重啟 NGINX 使配置生效；

• 4zdh.sh：枚舉 NGINX 常見配置文件位置（sites-enabled/conf.d/sites.available 等）；

• zdh.sh：精準定位 /etc/nginx/sites-enabled 文件，重點針對.in/.id 域名；

• ok.sh：掃描已注入的配置，收集被劫持域名信息并傳送至黑客 C2 服務器（遠程控制服務器）。

1. 立即修復漏洞：核查服務器是否存在 React2Shell 漏洞（CVE-2025-55182），前往寶塔面板后臺、NGINX 官方下載對應修復補丁 / 更新至最新安全版本；
2. 檢查配置文件：重點核查 NGINX 的 sites-enabled、conf.d、sites.available 目錄下配置文件，刪除陌生的 proxy_pass 轉(zhuǎn)發(fā)指令及異常請求頭配置；
3. 重啟驗證：修改配置后重啟 NGINX 服務，訪問網(wǎng)站測試是否存在異常跳轉(zhuǎn)，同時檢查訪問日志，排查陌生 IP 的異常訪問記錄。

1. 限制腳本執(zhí)行權(quán)限：禁止服務器中匿名用戶執(zhí)行 sh、bash 等腳本文件，對 zx.sh、bt.sh 等可疑腳本名稱設置攔截規(guī)則；
2. 監(jiān)控 C2 服務器通信：通過防火墻、入侵檢測系統(tǒng)攔截服務器與境外陌生 IP 的通信，重點監(jiān)控東南亞、南美洲地區(qū)異常 IP；
3. 加固寶塔面板：修改寶塔面板默認登錄端口、開啟二次驗證，刪除非運維人員的面板操作權(quán)限，關(guān)閉不必要的遠程訪問功能；
4. 開啟日志審計：開啟 NGINX 和寶塔面板的全量日志審計，對配置文件修改、腳本執(zhí)行等操作做實時告警，第一時間發(fā)現(xiàn)異常行為。

1. 若發(fā)現(xiàn)網(wǎng)站已被劫持，除修復配置外，需立即修改寶塔面板、服務器登錄密碼，更換 SSH 密鑰，避免黑客二次入侵；

2. 非技術(shù)型運營者可聯(lián)系服務器服務商，請求協(xié)助做漏洞檢測和配置核查，切勿自行修改配置避免引發(fā)新問題；

3. 此次攻擊暫未發(fā)現(xiàn)針對普通個人用戶設備的風險，個人上網(wǎng)遇到網(wǎng)站跳轉(zhuǎn)博彩頁面，直接關(guān)閉即可，無需過度擔心。

關(guān)注我，第一時間獲取服務器安全防護最新技巧，轉(zhuǎn)發(fā)給身邊的網(wǎng)站運營 / 運維同行，一起筑牢服務器安全防線！

安全圈

網(wǎng)羅圈內(nèi)熱點 專注網(wǎng)絡安全

實時資訊一手掌握！

好看你就分享 有用就點個贊

支持「安全圈」就點個三連吧！