Nginx服务器被植入恶意代码如何排查？

在服务器运维过程中，Nginx作为网站入口服务，承担着大量用户请求处理工作。一旦Nginx服务器被攻击者植入恶意代码，不仅可能导致网站访问异常，还可能出现流量劫持、非法跳转、服务器资源异常消耗、网站被挂马等严重问题。

很多管理员发现网站异常后，第一反应往往是检查网站程序或者数据库，却忽略了Nginx本身也可能成为攻击目标。攻击者可能通过服务器漏洞、弱密码、网站程序漏洞、权限配置不当等方式进入服务器，然后修改Nginx配置、植入恶意模块或者隐藏恶意脚本。部分攻击甚至会通过篡改Nginx配置实现流量转发和用户请求劫持。

因此，当网站出现异常访问、跳转、CPU升高或者未知流量时，需要及时检查Nginx运行环境，判断是否存在恶意代码，并采取有效处理措施。

一、Nginx被植入恶意代码后有哪些异常表现？

Nginx恶意代码通常不会直接提示管理员“服务器已经被入侵”，而是隐藏在正常服务运行过程中。因此，需要通过异常现象进行判断。

常见表现包括：

网站访问自动跳转到陌生页面；

部分用户访问正常，部分用户访问异常；

服务器CPU持续升高；

Nginx进程数量异常增加；

网站出现未知广告内容；

访问速度明显变慢；

服务器产生异常外联请求。

例如：

某企业官网部署在Nginx服务器上，平时运行稳定，但近期发现部分用户打开网站时会跳转到其他页面，而管理员自己访问却没有问题。

经过检查：

网站程序文件没有明显变化；

数据库内容正常；

服务器资源存在异常。

进一步排查Nginx配置文件后发现，在某个虚拟主机配置中增加了一段未知代理规则，将部分访问请求转发到了外部服务器。

删除异常配置并重新加载Nginx后，网站恢复正常。

这个案例说明，Nginx异常不一定来自网站代码，也可能来自服务器配置被篡改。

二、检查Nginx配置文件是否被修改

Nginx运行依赖配置文件，如果攻击者获得服务器权限，可能通过修改配置实现恶意行为。

常见被修改的位置包括：

nginx.conf；

conf.d目录；

站点虚拟主机配置；

rewrite规则；

proxy_pass配置。

首先，可以查看当前Nginx加载的配置：

nginx -T

该命令可以输出Nginx当前完整配置。

重点检查：

是否存在陌生域名；

是否出现未知proxy_pass；

是否增加异常rewrite规则；

是否存在隐藏location规则。

例如：

正常网站可能配置：

location / {
    root /www/wwwroot/site;
}

但如果出现：

proxy_pass http://unknown-domain.com;

或者：

rewrite ^/(.*)$ http://xxx.com permanent;

就需要重点分析。

攻击者可能利用这些配置实现：

流量转发；

跳转劫持；

隐藏推广；

恶意引流。

一些针对Nginx的攻击案例中，攻击者会通过修改配置文件插入恶意代理规则，使用户请求经过攻击者控制的后端服务器。

三、检查Nginx模块是否存在异常

除了修改配置文件，攻击者还可能通过加载恶意模块影响Nginx运行。

正常情况下：

Nginx模块数量有限；

来源明确；

安装记录清晰。

可以检查模块加载情况：

nginx -V

查看：

configure arguments；

动态模块路径；

加载模块信息。

如果发现：

未知.so文件；

陌生第三方模块；

近期突然增加的模块。

需要进一步确认。

例如：

某服务器运行多年，突然发现Nginx启动参数中出现一个陌生模块。

检查文件来源后发现，该模块并不是管理员安装，而是在攻击事件发生后生成。

这种情况需要考虑服务器已经被入侵。

部分恶意程序会隐藏在Nginx进程中，使其表面看起来仍然是正常Nginx服务，因此不能只通过进程名称判断是否安全。

四、检查网站目录中的恶意文件

很多情况下，Nginx被利用并不是直接攻击Nginx程序，而是通过网站漏洞进入服务器。

例如：

PHP上传漏洞；

CMS漏洞；

插件漏洞；

弱后台密码。

攻击者进入后，会上传：

木马文件；

后门程序；

恶意PHP脚本。

可以检查网站目录最近修改文件：

find /www/wwwroot -mtime -3

查看近期变化文件。

重点关注：

uploads目录；

cache目录；

tmp目录；

隐藏文件。

例如：

某企业网站发现Nginx访问异常，同时服务器CPU升高。

检查网站目录后发现：

uploads目录中存在多个陌生PHP文件。

查看文件内容后发现，这些文件包含远程执行代码。

清理文件并修复上传权限后，服务器恢复稳定。

五、结合Nginx日志分析攻击入口

日志是排查攻击来源的重要依据。

Nginx主要关注：

access.log；

error.log。

通过访问日志，可以分析：

攻击IP；

访问路径；

异常请求；

攻击时间。

例如：

查看访问频率：

awk '{print $1}' access.log | sort | uniq -c | sort -nr | head

如果发现某些IP大量访问：

/admin/

/upload/

/shell.php

等路径，需要进一步检查。

同时查看错误日志：

tail -f error.log

关注：

权限错误；

文件不存在；

异常模块加载；

后端连接异常。

例如：

某网站出现首页加载异常，通过Nginx日志发现大量请求访问：

/test.php

/upload.php

/config.php

这些并非网站正常页面。

进一步检查发现攻击者正在尝试扫描漏洞入口。

通过限制异常访问并修复漏洞后，攻击停止。

六、检查服务器进程和异常外联

如果Nginx服务器被植入恶意代码，还可能出现异常网络连接。

可以查看：

netstat -antp

或者：

ss -antp

关注：

未知IP连接；

异常端口；

持续外联。

例如：

正常Nginx主要监听：

80端口；

443端口。

如果发现Nginx进程主动连接陌生外部服务器，就需要重点排查。

攻击者可能利用恶意代码：

上传数据；

接收远程命令；

转发流量。

七、发现恶意代码后的处理方法

确认Nginx存在恶意代码后，不建议直接删除文件或者立即重启服务器。

正确处理流程应该包括：

第一，保留现场。

保存：

日志文件；

异常配置；

可疑文件。

方便后续分析攻击方式。

第二，隔离风险。

可以：

限制外部访问；

关闭异常端口；

临时阻断攻击来源。

第三，清理恶意内容。

包括：

删除恶意脚本；

恢复配置文件；

移除异常模块。

第四，修复入侵入口。

重点检查：

服务器密码；

SSH安全；

网站程序漏洞；

文件权限；

后台账号。

否则即使删除恶意代码，攻击者仍可能再次进入。

八、如何防止Nginx再次被植入恶意代码？

防护比事后处理更加重要。

日常管理中建议：

定期更新Nginx版本；

关闭无用端口；

禁止目录执行PHP；

限制文件写入权限；

启用安全监控；

定期备份配置文件。

例如：

网站上传目录通常只需要保存图片、附件等文件，不应该允许执行PHP程序。

通过限制上传目录执行权限，可以降低木马上传后的危害。

同时，管理员应该定期检查：

Nginx配置变化；

网站文件变化；

异常登录记录。

提前发现风险。

总结

Nginx服务器被植入恶意代码后，需要从配置、模块、网站文件、日志、网络连接多个方向进行排查。

具体流程包括：

检查Nginx配置是否被修改；

查看是否存在异常模块；

分析访问日志定位攻击入口；

检查网站目录中的恶意文件；

排查异常进程和外部连接；

清理漏洞并加强安全防护。

很多网站安全问题并不是突然发生，而是在长期缺少监控和维护的情况下逐渐形成。只有建立完善的服务器管理机制，及时发现异常变化，才能降低Nginx被攻击后的影响，保障网站长期稳定运行。

纵横云服务器租赁，欢迎随时联系，客服联系方式：QQ3494196421,手机微信19906048601。