AI给攻防带来了GDP
无聊的人是可耻的！
日志完整还原了攻击者的操作链！以下是关键发现：
攻击时间线（2026-11-13 18:15 ~ 18:27）
攻击者 IP：139.196.78.7，使用 Edge 浏览器 UA，通过 gellBackupCell.php WebShell 进行了完整的入侵操作：
时间操作详情
18:15:12POST /zb_users/theme/inc.php上传/写入临时后门文件
18:15:32POST inc.php?pilihan&path=...浏览 theme 目录
18:15:55POST /zb_users/theme/tag.php写入第二个临时后门
18:16:14POST tag.php?website_=phpcode执行PHP代码
18:16:18GET gellBackupCell.php激活主WebShell
18:16:40~18:16:55多次POST/GET gellBackupCell.php浏览目录、执行trojan模块
18:16:59GET editr&p=.../inc.php编辑 inc.php 文件内容
18:17:06GET del&p=.../tag.php删除 tag.php（清理痕迹）
18:17:10GET del&p=.../inc.php删除 inc.php（清理痕迹）
18:17:18GET editr&p=.../emotion.js.php查看/修改 emotion.js.php
18:17:44GET website_=shellcode打开shellcode执行模块
18:17:52~18:18:034次POST shellcode执行恶意命令（植入Nginxconfig木马等）
18:25:23GET website_=phpcode再次执行PHP代码
18:26:02GET editr&p=.../c_system_base.php读取并篡改 c_system_base.php
18:27:01~18:27:48POST + editr c_system_base.php写入后门代码到核心文件
最终确认的后门清单（共6个）
#文件路径类型状态
1zb_system/function/c_system_base.php:314PHP WebShell (ROT13+Base64)18:26被篡改
2UEditor/themes/default/css/mainInc_cell.phpPHP Downloader (goto+hex)潜伏
3UEditor/themes/default/images/listModifyOc.phpPHP 加密WebShell (XOR)潜伏
4UEditor/dialogs/emotion/images/gellBackupCell.php🔴 全功能文件管理器WebShell攻击入口，仍在活跃
5UEditor/dialogs/insertframe/NginxconfigELF二进制木马 (UPX加壳)运行中+C2通信
6UEditor/dialogs/image/images/cellConfigX.php⚠️ 可疑(60B)待确认
攻击者通过 gellBackupCell.php 的 shellcode 模块在 18:17:52 植入了 Nginxconfig 二进制木马，并在 18:26~18:27 篡改了 c_system_base.php。临时文件 inc.php 和 tag.php 已被攻击者自行删除。
根据日志还原的攻击链和系统环境分析，根本原因是 Z-BlogPHP 的漏洞，而非操作系统层面的漏洞。以下是详细分析：
判定依据
维度Z-BlogPHP 漏洞系统漏洞
入侵入口✅ 通过 Web 请求 (gellBackupCell.php) 进入 无SSH爆破/提权记录
攻击者身份www 用户（Web进程权限）非 root 提权
利用方式UEditor 插件目录下的 PHP 文件被当作 WebShell 执行无内核/服务exploit
auth.log无异常登录✅ 正常
攻击路径HTTP → php-fpm → WebShell → 文件操作/命令执行不涉及系统服务
具体漏洞定位
Z-BlogPHP 1.7.5.3540 + UEditor 插件组合存在以下已知漏洞：
UEditor 任意文件上传漏洞（CVE-2023-46985 等）
UEditor 的 action_upload.php / controller.php 对上传文件类型校验不严
攻击者可上传 .php 文件到 dialogs/emotion/images/ 等目录
gellBackupCell.php（227KB，2021年创建）就是通过此漏洞上传的全功能 WebShell
Z-BlogPHP 模板/插件代码注入漏洞
攻击者通过 gellBackupCell.php 的 editr 模块直接编辑了 c_system_base.php
Z-BlogPHP 1.7.x 对核心文件的写入权限未做独立隔离，Web 进程可直接修改系统文件
UEditor 目录遍历 + 文件管理漏洞
gellBackupCell.php 支持 website_=main&path= 参数浏览任意目录
支持 del、editr、shellcode、trojan 等模块，是一个成熟的第三方 WebShell 工具
说明该文件是攻击者通过 UEditor 上传漏洞植入的专用管理面板
根因总结
UEditor 插件文件上传漏洞
↓
上传 gellBackupCell.php (全功能WebShell)
↓
通过 WebShell 浏览/编辑/删除文件
↓
├── 植入 Nginxconfig ELF 木马 (shellcode模块)
├── 篡改 c_system_base.php (editr模块)
├── 植入 mainInc_cell.php / listModifyOc.php
└── 清理临时文件 inc.php / tag.php
结论：这是 Z-BlogPHP UEditor 插件的文件上传漏洞导致的入侵，与操作系统无关。 修复重点是升级 Z-BlogPHP、替换/删除 UEditor 插件、加强 Web 目录写权限控制，而非系统加固。
经分析确认入侵根因为 Z-BlogPHP 1.7.5 的 UEditor 插件文件上传漏洞（非操作系统漏洞）。攻击者通过该漏洞上传 gellBackupCell.php WebShell，进而完成文件篡改、二进制木马植入等操作。建议：1) 立即清除所有后门文件并终止Nginxconfig进程；2) 升级Z-BlogPHP至最新版；3) 删除或替换UEditor插件为安全版本；4) 限制Web目录写权限；5) 修改所有相关密码。
