网站被挂马

访问时uchome.c1gstudio.com卡巴斯基报木马,nod32和诺顿无反应。

寻找挂马方式
ie8+开发 和用http_watch发现有挂马请求,ie6,ie7+flidder2,firefox 2和3+firebug无法发现请求.
请求地址为(实际地址已隐去，只作示例)

查看首页原码无此请求，但用dom查看器可以发现。
制作一临时html文件，copy首页源代码放入，通过增删代码找到木马放在/source/script_common.js中
ftp到server查看该文件已被修改并在首行有以下请求代码。

在uchome.c1gstudio.com/下还有一x.php 十分可疑
下载下来是加密过的,破解后为"黑狼PHP木马".
文件上传日期为2009/04/20.

搜索文件其它域名根目录下也有此文件，立即将其改名禁止攻击者访问。

攻击者怎么把木马放上来的呢？
搜索近期的web访问日志，看看攻击者都做了什么操作。

得到攻击者ip后，再查ip

木马已上传，再换个日期查

攻击者在扫描网站，但还未上传x.php，应该不是在这个域名下上传的。
换个域名

攻击方法
攻击者通过//guanli/ruletest.php
上传yhs.php 并上传x.php木马
通过x.php对文件植入代码

系统漏洞
ruletest.php 为dede cms的安全漏洞

查找感杂文件
查找web文件夹中是否有挂马
find /opt/htdocs -name "*.js" -exec grep -I -l "w3.com" {} \;
find /opt/htdocs -name "*.htm" -exec grep -I -l "w3.com" {} \;
find /opt/htdocs -name "*.html" -exec grep -I -l "w3.com" {} \;
find /opt/htdocs -name "*.php" -exec grep -I -l "w3.com" {} \;

查找web文件夹中是否还有后门
find /opt/htdocs -name "x.php" -print;

最近修改过的文件(后门可以自定文件修改时间，所以这个不可靠)
find /opt/htdocs -mtime -1 -type f -exec ls -l {} \;

攻击者将多个挂马插入大部分html,js,php，404.htm等也有
改名上传了多个木马在不同目录，并在原有程序上按插上传代码。

修复方法
由于感染太多就将原有web目录移除，并重新上传文件。
删除dede的后台
修改mysql,主机,web等管理密码。