2. NodeSeek
  3. 求教，哪吒被破，小鸡被植入agent，清除后还有隐患吗？

求教，哪吒被破，小鸡被植入agent，清除后还有隐患吗？

小毛驴 2026-06-16 13:16 1

如题

前几天升级了哪吒就没管，今天看到有坛友发帖说被植入agent，随便上了个小鸡查看了一下，我的也被植入了...

估计是升级之前就被破了..


刚才用哪吒的任务功能，全部清除了相关服务，删除了配置，检索清理了恶意配置文件相关的进程。


查看cat /root/.ssh/authorized_keys也没发现新的公钥。


在CF启用了仅自己的IP列表可访问面板的安全规则。


要不要修改Client Secret？（要改的话，该怎么改老哥们，没看到这个功能...）


小鸡实在太多了，乱七八糟的各种服务太多太多了，有办法的情况下不想重装系统。


^-^ ^-^ ^-^ ^-^ ^-^ ^-^ ^-^ ^-^ ^-^ ^-^ ^-^


建议大家都查看下自己小鸡正在运行的服务：

systemctl list-units --type=service --state=running


只安装过一个agent，那就是只有一个nezha-agent.service。

如果还有其他类似：nezha-agent-1680dc5.service的服务就查看下

是不是有别人的哪吒配置文件，类似：

/opt/nezha/agent/config-i9t27.yml

最新回复 (26)
  • Yeziloc 06-16 13:18
    1楼

    我觉得最好重装

  • chnfsx 06-16 13:19
    2楼

    建议重装

  • samhou 06-16 13:19
    3楼

    最好批量重装（）

    很难清除干净的

  • q2836400482 06-16 13:19
    4楼


    我看了一下， 我的也有，这也是被植入agent了吗

  • kobayashi 06-16 13:20
    5楼

    ^-^ 吓得我赶紧去更新了下面板

  • alice 06-16 13:23
    6楼

    重装

  • Yandex 06-16 13:24
    7楼

    不重装 你放心嘛 ^-^

  • 小毛驴 楼主 06-16 13:27
    8楼

    @q2836400482 #4 不是，这是SSH公钥


    不对，你这个可能是别人加上去的，你想想你的SSH秘钥是不是长这样。有老哥说


    gary@gary SSH 后门公钥

  • 杀球从不下网 06-16 13:31
    9楼

    重装保平安

  • 厚德载物 06-16 13:31
    10楼

    建议重装

  • 799814263 06-16 13:33
    11楼

    不重装情况下，我建议保护好母鸡

  • aseenm 06-16 13:34
    12楼

    重装ba

  • Y1han 06-16 13:40
    13楼

    我也有个随机字符的配置，但是我打开后和我的配置文件一模一样。不管他了。

  • treasureu 06-16 13:50
    14楼

    @Y1han #13 你这种就是了，我也是这样，目前已知的操作有四层

    ① 哪吒后门 Agent(连 207.58.173.192)

    ② gary@gary SSH 后门公钥

    ③ memfd 内存马(伪装 kworker,连 24.x)

    ④ SystemLoger 守护服务(连 24.x,负责复活

  • 镜花水月 06-16 13:56
    15楼

    重装吧 用的安心

  • X1721 06-16 14:11
    16楼

    @treasureu #14 有排查方法吗

  • ik4r 06-16 14:14
    17楼

    @q2836400482 #4 这公钥如果不是你加的或者你让AI加的那就是了呗 ^-^

  • rodingbaba 06-16 14:28
    18楼

    @q2836400482 #4

    这个就是中招了，和我的一模一样，也是被植入这个密钥。

    也有不明服务运行


  • treasureu 06-16 14:38
    19楼

    @X1721 #16 让ai给你说怎么排查，先从nezha后台查起

  • guazi 06-16 14:40
    20楼

    rebuild吧，省事又放心

  • calg 06-16 14:43
    21楼

    无语了, 每次有问题都中招

    上次青龙面板漏洞也中招了


      nezha-agent-b170f64.service                                loaded active running 哪吒监控 Agent
    
  nezha-agent-fb82393.service                                loaded active running 哪吒监控 Agent
    
  nezha-agent.service                                        loaded active running 哪吒监控 Agent
  • mmys0301 06-16 14:49
    22楼

    咋删除啊。。

  • Y1han 06-16 16:43
    23楼

    @treasureu #14 我只有主控这样，探针端没发现。

  • treasureu 06-16 16:47
    24楼

    @mmys0301 #22 可以看下我发的帖子，排查一下

  • treasureu 06-16 16:47
    25楼

    @Y1han #23 那应该还好

  • 空指针 06-16 16:58
    26楼

    检查了，nginx的请求日志，WAF的日志，还好没请求记录。赶紧升级了版本和禁了这个路径，也禁止了全部SSH的权限。之前还直接用哪吒的SSH功能

* 帖子来源NodeSeek
附近帖子
返回
飞读
随机推荐