寶塔面板被曝留后門(mén)搜集用戶(hù)隱私信息,附寶塔上

寶塔bt.cn是比較知名的國產(chǎn)主機控制面板，傻瓜式操作讓小白也能用服務(wù)器搭建網(wǎng)站環(huán)境，從而贏(yíng)得了大量用戶(hù)。然而幾天前各大論壇貼滿(mǎn)了關(guān)于寶塔后門(mén)搜集隱私信息的帖子，我們看看怎么回事：

寶塔面板官網(wǎng)：https://bt.cn/

寶塔服務(wù)器面板，一鍵全能部署及管理，送你3188元禮包，點(diǎn)我領(lǐng)取寶塔服務(wù)器面板，一鍵全能部署及管理，送你3188元禮包，點(diǎn)我領(lǐng)取https://www.bt.cn/?invite_code=MV9kaG5wYWk=

首先，網(wǎng)友po出了詳細的寶塔搜集信息并上傳到服務(wù)器的代碼和操作流程，附帶搜集信息的證據。

第一步、搜集安裝包套服務(wù)器上面的域名，文件/class/public.py。并檢測域名是否可用，/class/acme_v2.py。

第二步、收集面板操作日志,包括:時(shí)間,IP(*此處為操作面板用戶(hù)的 IP),請求方式,請求路徑,UA,操作動(dòng)作等。

由/class/public.py搜集信息，保存到/www/server/panel/logs/request/目錄。

保存格式為：[“2022-05-06 01:58:10”, “你的 IP(非服務(wù)器 IP):1000”, “POST”, “/login?”, “用戶(hù) UA”, “{}”, 39]

第三步、由/script/site_task.py，打包發(fā)送搜集到的信息到寶塔服務(wù)器。

由/task/bt-task.c 定時(shí)執行.每一小時(shí)執行一次。

以上出處在https://blog.kieng.cn/2950.html。事情曝光后，寶塔連夜加班更新新版本：

網(wǎng)頁(yè)調侃道：寶塔官方認識到了事態(tài)嚴重，并在第一時(shí)間做出整改，把1分鐘一次上傳用戶(hù)信息修改為修改為2分鐘一次。

剛好，我手里有一臺裝了bt的服務(wù)器，進(jìn)去看看：

果然如爆料一樣的中招了。

寶塔上傳用戶(hù)信息緊急修復方法：

老劉博客這里附一份緊急修復方法，當然這只是網(wǎng)友目前找到的后門(mén)，建議該換的還是得換了吧，信息安全很重要。除了寶塔面板，Linux下常見(jiàn)的web一鍵包運行環(huán)境和控制面板匯總

#將腳本文件清空
echo "" > /www/server/panel/script/site_task.py

#腳本文件添加寫(xiě)保護，防止內容被寫(xiě)回（即使是root，不取消保護也無(wú)法寫(xiě)入）
chattr  i /www/server/panel/script/site_task.py
#清空所有統計日志
rm -rf /www/server/panel/logs/request/*
#為request文件夾添加寫(xiě)保護，防止內容寫(xiě)入
chattr  i -R /www/server/panel/logs/request