原TP项目是5.0.10，近日，在登录后台时，
域名/admin，跳转到网站首页。无法进入后台登录页面。
然后发现，public/index.php竟然被改了。

专注于为中小企业提供成都网站制作、成都做网站服务,电脑端+手机端+微信端的三站合一,更高效的管理,为中小企业铁东免费做网站提供优质的服务。我们立足成都，凝聚了一批互联网行业人才，有力地推动了1000+企业的稳健成长，帮助中小企业通过网站建设实现规模扩充和转变。

先升级到5.0.24。
还是被中枪。

后来查看了nginx日志。
日志在 /home/wwwlogs/域名.log

发现了某个上传图片的目录下，竟然有.php文件。

192.168.100.1 - - [06/Mar/2019:14:16:35 +0800] "POST /uploads/image/chinaword/2017/06/a60a38662b5ddcd5cfdf365ca97af24c.php HTTP/1.1" 200 3355 "http://域名/uploads/image/chinaword/2017/06/a60a38662b5ddcd5cfdf365ca97af24c.php" "Mozilla/5.0 (Windows NT 6.1; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/68.0.3440.84 Safari/537.36"
192.168.100.1 - - [06/Mar/2019:14:16:36 +0800] "GET /comon.php HTTP/1.1" 200 827 "http://域名/uploads/image/chinaword/2017/06/a60a38662b5ddcd5cfdf365ca97af24c.php" "Mozilla/5.0 (Windows NT 6.1; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/68.0.3440.84 Safari/537.36"

然后删掉这个php文件就好了。
在TP官网上，有许多相关话题。大家遇到的情况不一样。
http://www.thinkphp.cn/Search/
搜索：漏洞

分享标题：thinkphp5.0index.php被替换成首页内容，被注入恶意代码
文章路径：http://myzitong.com/article/iggesj.html