网站被挂马

访问时uchome.c1gstudio.com卡巴斯基报木马,nod32和诺顿无反应。

寻找挂马方式 ie8+开发 和用http_watch发现有挂马请求,ie6,ie7+flidder2,firefox 2和3+firebug无法发现请求. 请求地址为(实际地址已隐去，只作示例)

查看首页原码无此请求，但用dom查看器可以发现。 制作一临时html文件，copy首页源代码放入，通过增删代码找到木马放在/source/script_common.js中 ftp到server查看该文件已被修改并在首行有以下请求代码。

在uchome.c1gstudio.com/下还有一x.php 十分可疑 下载下来是加密过的,破解后为”黑狼PHP木马”. 文件上传日期为2009/04/20.

搜索文件其它域名根目录下也有此文件，立即将其改名禁止攻击者访问。

攻击者怎么把木马放上来的呢？ 搜索近期的web访问日志，看看攻击者都做了什么操作。

得到攻击者ip后，再查ip

木马已上传，再换个日期查

攻击者在扫描网站，但还未上传x.php，应该不是在这个域名下上传的。 换个域名

攻击方法 攻击者通过//guanli/ruletest.php 上传yhs.php 并上传x.php木马 通过x.php对文件植入代码

系统漏洞 ruletest.php 为dede cms的安全漏洞

查找感杂文件 查找web文件夹中是否有挂马 find /opt/htdocs -name “.js” -exec grep -I -l “w3.com” {} \; find /opt/htdocs -name “.htm” -exec grep -I -l “w3.com” {} \; find /opt/htdocs -name “.html” -exec grep -I -l “w3.com” {} \; find /opt/htdocs -name “.php” -exec grep -I -l “w3.com” {} \;

查找web文件夹中是否还有后门 find /opt/htdocs -name “x.php” -print;

最近修改过的文件(后门可以自定文件修改时间，所以这个不可靠) find /opt/htdocs -mtime -1 -type f -exec ls -l {} \;

攻击者将多个挂马插入大部分html,js,php，404.htm等也有 改名上传了多个木马在不同目录，并在原有程序上按插上传代码。

修复方法 由于感染太多就将原有web目录移除，并重新上传文件。 删除dede的后台 修改mysql,主机,web等管理密码。