全球主机交流论坛

标题: 宝塔后门接口 [打印本页]

作者: famen 时间: 2022-5-12 00:00
标题: 宝塔后门接口
本帖最后由 famen 于 2022-5-12 00:04 编辑

宝塔连夜更新
https://lilynana.eu.org/thread-1015639-1-1.html

宝塔国内版已知收集的隐私信息
https://lilynana.eu.org/thread-1015562-1-1.html

作者: 表妹 时间: 2022-5-12 00:02
提示: 作者被禁止或删除内容自动屏蔽

作者: MMMM 时间: 2022-5-12 00:03
确实，你说的对。

作者: xiaofeng 时间: 2022-5-12 00:03

表妹发表于 2022-5-12 00:02
你也是个人才啊

你头像这谁哇。有点眼熟

作者: emptysuns 时间: 2022-5-12 00:03
开发们：明白了下次更新就把脚本加密，让你读不到

作者: dapeng 时间: 2022-5-12 00:04
宝塔是不是得罪你了

作者: stingeo 时间: 2022-5-12 00:05
知道了，我连夜拆了我家所有的宝塔面板，全部换成了正泰面板，这下可以放心睡觉了。

作者: 蜂蜜柚子茶 时间: 2022-5-12 00:06
知道也没用，没更好的替代者

作者: famen 时间: 2022-5-12 00:06

check_files.py

复制代码

只是请求接口然后任务获取接口的返回数据然后写入到本地

public.writeFile

复制代码

是写入到文件
最后一行是重启面板

作者: abc.xyz 时间: 2022-5-12 00:10
所以老版本的7.7.0的，把 task.py里的下面这段屏蔽了是不是可以:

p = threading.Thread(target=check_files_panel)
p.setDaemon(True)
p.start()

复制代码

作者: 1NIAN 时间: 2022-5-12 00:11
别玩宝塔了，来AppNode吧

作者: abc.xyz 时间: 2022-5-12 00:11

蜂蜜柚子茶发表于 2022-5-12 00:06
知道也没用，没更好的替代者

知道了屏蔽一下不就好了，就这点代码，又没有加密。。。

作者: 总是吵架的猪 时间: 2022-5-12 00:11

这一段有什么问题？

作者: canxunhulian 时间: 2022-5-12 00:13
难顶

作者: ChinaT 时间: 2022-5-12 00:18
好家伙第三方那个开心版也被曝了

作者: younghwan 时间: 2022-5-12 00:21

1NIAN 发表于 2022-5-12 00:11
别玩宝塔了，来AppNode吧

appnode早都停止更新了官网部分页面 https证书也过期了
但还能继续使用

作者: 1NIAN 时间: 2022-5-12 00:23

younghwan 发表于 2022-5-12 00:21
appnode早都停止更新了官网部分页面 https证书也过期了
但还能继续使用

没办法，用户量打不过宝塔

作者: younghwan 时间: 2022-5-12 00:24

1NIAN 发表于 2022-5-12 00:23
没办法，用户量打不过宝塔

appnode如果做大了也会像宝塔一样收集信息的
不收集在国内是违法的

作者: rexmax520 时间: 2022-5-12 01:53
看来宝塔是因为疫情没有按时付工资给技术吧

作者: zhongziso 时间: 2022-5-12 02:07
牛逼

作者: 小号专用马甲 时间: 2022-5-12 05:19
提示: 作者被禁止或删除内容自动屏蔽

作者: 日美眉 时间: 2022-5-12 05:30
提示: 作者被禁止或删除内容自动屏蔽

作者: raoqiang881124 时间: 2022-5-12 07:20
用了几年IP都没被墙过，你这么一说就有事啦？

作者: zymsdf 时间: 2022-5-12 08:42
宝塔对于大家来说都是个隐患，毕竟是吧你懂，那问题来了有没办法清除后门，大神来个一键脚本把，小白不小受罪。然后嘛国外版有没后门。。。

作者: winwin50 时间: 2022-5-12 08:44

abc.xyz 发表于 2022-5-12 00:10
所以老版本的7.7.0的，把 task.py里的下面这段屏蔽了是不是可以:

你知道root权限是什么意思么？

作者: thaizxj 时间: 2022-5-12 09:33
hosts把宝塔域名屏蔽了可以么

作者: yewg 时间: 2022-5-12 09:37
我一直觉得会py的jj很厉害我能把shell看明白就行了

作者: net909 时间: 2022-5-12 09:37
https://blog.cccyun.cn/post-431.html
我之前的优化脚本早就去掉了那段代码

作者: weixiangnan 时间: 2022-5-12 09:43

ChinaT 发表于 2022-5-12 00:18
好家伙第三方那个开心版也被曝了

哪个第三方开心版？

作者: 千手如来 时间: 2022-5-12 09:59

net909 发表于 2022-5-12 09:37
https://blog.cccyun.cn/post-431.html
我之前的优化脚本早就去掉了那段代码

多谢转走了

作者: laianguo 时间: 2022-5-12 10:10

net909 发表于 2022-5-12 09:37
https://blog.cccyun.cn/post-431.html
我之前的优化脚本早就去掉了那段代码

来个win版优化脚本吧

作者: mould8 时间: 2022-5-12 10:45
宝塔2020年就和补天漏洞平台发布了百万悬赏漏洞征集，https://www.butian.net/Article/content/id/521
如果有后门，赶紧找出来去领钱啊。

作者: Fba 时间: 2022-5-12 10:47
收集就收集吧，不做不好的事情，也不用担心吧

作者: 人生短短几个秋 时间: 2022-5-12 11:17
本帖最后由人生短短几个秋于 2022-5-12 15:27 编辑

有别的面板吗？

作者: 人生短短几个秋 时间: 2022-5-12 15:31

mould8 发表于 2022-5-12 10:45
宝塔2020年就和补天漏洞平台发布了百万悬赏漏洞征集，https://www.butian.net/Article/content/id/521
如果 ...

这价值还不低，哎奈何技术不过关，

作者: abc.xyz 时间: 2022-5-12 18:12

winwin50 发表于 2022-5-12 08:44
你知道root权限是什么意思么？

这和权限有什么关系？我看28#大佬的脚本里也是改这段的

作者: 小号专用马甲 时间: 2022-5-12 18:16
提示: 作者被禁止或删除内容自动屏蔽

作者: abc.xyz 时间: 2022-5-12 19:26

net909 发表于 2022-5-12 09:37
https://blog.cccyun.cn/post-431.html
我之前的优化脚本早就去掉了那段代码

大佬，感谢
问下跳过手机绑定的功能你这里面是不是已经实现了？
论坛里的方法是：rm -rf /www/server/panel/data/bind.pl
你好像是通过添加：/www/server/panel/data/userInfo.json 来实现的？

作者: net909 时间: 2022-5-12 19:36

abc.xyz 发表于 2022-5-12 19:26
大佬，感谢
问下跳过手机绑定的功能你这里面是不是已经实现了？
论坛里的方法是：rm -rf /www/server/p ...

对，都可以

作者: bitpeople 时间: 2022-5-12 20:00
古人语：家贼难防

作者: 乌溜溜的黑眼猪 时间: 2022-5-12 20:13
提示: 作者被禁止或删除内容自动屏蔽

作者: two 时间: 2022-5-12 20:38
国外版本好像没有这个py文件,不知道在哪里隐藏着呢

作者: stelics 时间: 2022-5-12 20:53

two 发表于 2022-5-12 20:38
国外版本好像没有这个py文件,不知道在哪里隐藏着呢

宝塔国外国际版不是有大佬发了么，一样收集

作者: two 时间: 2022-5-12 21:13

stelics 发表于 2022-5-12 20:53
宝塔国外国际版不是有大佬发了么，一样收集

看到了,猫了个咪的,已经卸载了

作者: zby 时间: 2022-5-13 09:21

net909 发表于 2022-5-12 09:37
https://blog.cccyun.cn/post-431.html
我之前的优化脚本早就去掉了那段代码

7.9的这个脚本也去除了吗？

作者: btpanel 时间: 2022-5-13 09:29
如有对代码不懂的可以看看这个https://lilynana.eu.org/thread-1015859-1-1.html

作者: MSN 时间: 2022-5-13 09:51

net909 发表于 2022-5-11 18:37
https://blog.cccyun.cn/post-431.html
我之前的优化脚本早就去掉了那段代码

请问在线在哪能装7.7

作者: net909 时间: 2022-5-13 11:14

zby 发表于 2022-5-13 09:21
7.9的这个脚本也去除了吗？

对，7.9也可以去除上报隐私，但是7.9不支持去除强制绑定账号

作者: 气味 时间: 2022-5-16 08:23

作者: hoopan 时间: 2022-5-16 08:30
有了后门，宝塔是不是能直接进我们的服务器

欢迎光临全球主机交流论坛 (https://lilynana.eu.org/)