您的位置:永利集团登录网址 > 永利集团登录网址 > 网站被黑中毒WebShell木马的解决方案永利游戏平台

网站被黑中毒WebShell木马的解决方案永利游戏平台

2019-11-29 09:20

我想如果你是网管你应该会对系统出现被入侵的情况时进行追查。程序问题就去查看“事件查看器”,如果是IIS问题当然是查看IIS日志了!系统文件夹的system32低下的logfile有所有的IIS日志,用来记录服务器所有访问记录。

以前黑站黑了很多,但是就没有想过会不会被追踪到,都没有想过怎么去擦自己的屁股,万万没想到在自己不再黑站的时候,却发现了自己的BBS被黑了。根据当初的判断,BBS程序是我们BCT小组成员编写的Lvbbs不会存在着上传漏洞和SQL注入啊!就算能拿到权限都不可能可以弄出个webshell出来,不是程序的漏洞的话,就一定是服务器的安全问题了,以前整天拿着旁注去黑站,这下子好玩了,竟然被别人拿去黑自己的网站了。所以就硬着头皮去找网管问个究竟,怎么知道网管还说我自己的问题,要我自己去找气死我啊。

因为是虚拟主机的用户,所以每个用户都配置独立的IIS日志目录,从里面的日志文件就可以发现入侵者入侵BBS的资料了,所以下载了有关时间段的所有日志下来进行分析,发现了很多我自己都不知道资料!哈哈哈,这下子就知道入侵者是怎么入侵我的BBS了。
 
入侵IIS日志1)

那只好做一回网管了,如果你是网管你会如何去追查问题的来源了?程序问题就去查看“事件查看器”,如果是IIS问题当然是查看IIS日志了!系统文件夹的system32低下的logfile有所有的IIS日志,用来记录服务器所有访问记录。因为是虚拟主机的用户,所以每个用户都配置独立的IIS日志目录,从里面的日志文件就可以发现入侵者入侵BBS的资料了,所以下载了有关时间段的所有日志下来进行分析,发现了很多我自己都不知道资料!哈哈哈,这下子就知道入侵者是怎么入侵我的BBS了。

收到客户的反馈,说运行了一年的网站突然遭到黑客的攻击,系统cpu一直保持在100%,有进程也干不掉,然后客户就进行杀毒了,然后就把所有的exe文件都杀了,然后系统也就很多功能不正常了,数据库的服务也干掉了,然后我去看了下,发现网站目录下面被上传了大量的asp、php,htm的页面,里面的目录也有黑客上传了自己的目录,浏览哪些defalut.asp等方面的页面,就是黑客植入的页面,那要是被用户看见了,那真是一炮走红啊,黑客还很牛B的留下了脚印,果断写了自己的大名,在这种情况下,意识到这是中了WebShell木马,我立刻关闭了网站,然后来找解决方案。

从第一天里IIS日志可以发现入侵者早就已经对我的BBS虎视耽耽的了。而且不止一个入侵者这么简单,还很多啊。头一天的IIS日志就全部都是利用程序扫描后台留下的垃圾数据。

(入侵日记1)
从第一天里日志可以发现入侵者早就已经对我的BBS虎视耽耽的了。而且不止一个入侵者这么简单,还很多啊。头一天的IIS日志就全部都是利用程序扫描后台留下的垃圾数据。

永利游戏平台 1

永利游戏平台 2

 永利游戏平台 3

一、什么是WebShell木马?

看上面的IIS日志可以发现,入侵者61.145.***网站被黑中毒WebShell木马的解决方案永利游戏平台。.***利用程序不断的在扫描后台的页面,似乎想利用后台登陆漏洞从而进入BBS的后台管理版面。很可惜这位入侵者好像真的没有什么思路,麻木的利用程序作为帮助去寻找后台,没有什么作用的入侵手法。

看上面的日志可以发现,入侵者61.145.***.***利用程序不断的在扫描后台的页面,似乎想利用后台登陆漏洞从而进入BBS的后台管理版面。很可惜这位入侵者好像真的没有什么思路,麻木的利用程序作为帮助去寻找后台,没有什么作用的入侵手法。
(入侵日志2)
查看了第二天的日志,开始的时候还是普通的用户访问日志没有什么特别,到了中段的时候问题就找到了,找到了一个利用程序查找指定文件的IIS动作记录。

WebShell通常是以asp、php、jsp、asa或者cgi等网页文件形式存在的—种命令执行环境,也可以称为—种网页后门。黑客在入侵网站后,通常会将WebShell后门文件与网站服务器WEB目录下正常的网页文件混在—起,然后就可以使用浏览器来访问这些后门,得到命令执行环境,以达到控制网站或者WEB系统服务器的目的。这样就可以上传下载文件、查看数据库、执行任意程序命令等。

入侵IIS日志2)

 永利游戏平台 4

二、WebShell是如何入侵系统的?

查看了第二天的IIS日志,开始的时候还是普通的用户访问日志没有什么特别,到了中段的时候问题就找到了,找到了一个利用程序查找指定文件的IIS动作记录。

从上面的资料发现入侵者61.141.***.***也是利用程序去扫描指定的上传页面,从而确定入侵目标是否存在这些页面,然后进行上传漏洞的入侵。还有就是扫描利用动网默认数据库,一些比较常用的木马名称,看来这个入侵者还以为我的BBS是马坊啊,扫描这么多的木马文件能找着就是奇迹啊。继续往下走终于被我发现了,入侵者61.141.***.***在黑了我网站首页之前的动作记录了,首先在Forum的文件夹目录建立了一个Myth.txt文件,然后在Forum的文件夹目录下再生成了一只木马Akk.asp

1)利用系统前台的上传业务,上传WebShell脚本,上传的目录往往具有可执行的权限。在web中有上传图像、上传资料文件的地方,上传完后通常会向客户端返回上传的文件的完整URL信息,有时候不反馈,我们也可以猜到常见的image、upload等目录下面,如果Web对网站存取权限或者文件夹目录权限控制不严,就可能被利用进行webshell攻击,攻击者可以利用上传功能上传一个脚本文件,然后在通过url访问这个脚本,脚本就被执行。然后就会导致黑客可以上传webshell到网站的任意目录中,从而拿到网站的管理员控制权限。

永利游戏平台 5

永利游戏平台 6

2)客户获取管理员的后台密码,登陆到后台系统,利用后台的管理工具向配置文件写入WebShell木马,或者黑客私自添加上传类型,允许脚本程序类似asp、php的格式的文件上传。

从上面的资料发现入侵者61.141.***.***也是利用程序去扫描指定的上传页面,从而确定入侵目标是否存在这些页面,然后进行上传漏洞的入侵。还有就是扫描利用动网默认数据库,一些比较常用的木马名称,看来这个入侵者还以为我的BBS是马坊啊,扫描这么多的木马文件能找着就是奇迹啊。

日志的记录下,看到了入侵者利用akk.asp木马的所有操作记录。

3)利用数据库备份与恢复功能获取webshell。如备份时候把备份文件的后缀改成asp。或者后台有mysql数据查询功能,黑客可以通过执行select..in To outfile 查询输出php文件,然后通过把代码插入到mysql,从而导致生成了webshell的木马。

继续往下走终于被我发现了,入侵者61.141.***.***在黑了我网站首页之前的动作记录了,首先在Forum的文件夹目录建立了一个Myth.txt文件,然后在Forum的文件夹目录下再生成了一只木马Akk.asp

详细入侵分析如下:
GET /forum/akk.asp – 200
利用旁注网站的webshell在Forum文件夹下生成akk.asp后门
GET /forum/akk.asp d=ls.asp 200
入侵者登陆后门
GET /forum/akk.asp d=ls.asp&path=/test&oldpath=&attrib= 200
进入test文件夹
GET /forum/akk.asp d=e.asp&path=/test/1.asp&attrib= 200
利用后门在test文件夹修改1.asp的文件
GET /forum/akk.asp d=ls.asp 200
GET /forum/akk.asp d=ls.asp&path=/lan&oldpath=&attrib= 200
进入lan文件夹
GET /forum/akk.asp d=e.asp&path=/lan/index.html&attrib= 200
利用编辑命令修改lan文件夹内的首页文件
GET /forum/akk.asp d=ls.asp 200
GET /forum/akk.asp d=ls.asp&path=/forum&oldpath=&attrib= 200
进入BBS文件夹(这下子真的进入BBS目录了)
POST /forum/akk.asp d=up.asp 200
GET /forum/akk.asp d=ls.asp&path=/forum&oldpath=&attrib= 200
GET /forum/myth.txt – 200
在forum的文件夹内上传myth.txt的文件
GET /forum/akk.asp d=ls.asp&path=/forum&oldpath=&attrib= 200
GET /forum/akk.asp d=e.asp&path=/forum/myth.txt&op=del&attrib= 200
POST /forum/akk.asp d=up.asp 200
GET /forum/myth.txt – 200
利用后门修改Forum文件夹目录下的myth.txt文件。之后又再利用旁注网站的webshell进行了Ubb.asp的后门建立,利用akk.asp的后门修改了首页,又把首页备份。晕死啊,不明白这位入侵者是怎么一回事,整天换webshell进行利用,还真的摸不透啊。

4)系统其他站点被攻击,或者服务器上还搭载了ftp服务器,ftp服务器被攻击了,然后被注入了webshell的木马,然后网站系统也被感染了。

永利游戏平台 7

分析日志总结:
入侵者是利用工具踩点,首先确定BBS可能存在的漏洞页面,经过测试发现不可以入侵,然后转向服务器的入侵,利用旁注专用的程序或者是特定的程序进行网站入侵,拿到首要的webshell,再进行文件夹的访问从而入侵了我的BBS系统修改了首页,因为是基于我空间的IIS日志进行分析,所以不清楚入侵者是利用哪个网站哪个页面进行入侵的!不过都已经完成的资料收集了,确定了入侵BBS的入侵者IP地址以及使用的木马(xiaolu编写的),还留下了大量入侵记录。整个日志追踪过程就完毕了,从这里我们就知道如果入侵的时候,不注意在入侵时候所造成的记录,就很容易的被网管发现我们入侵的手法以及过程,这样子对于我们自身就增加了一份危险。敬告大家,不想被警察叔叔抓就不要去入侵,想入侵又不想被警察叔叔抓,就记得如何去擦干净你的入侵痕迹。本文技术含量不高,只是希望给各位小黑和网管知道入侵和被入侵都有迹可寻。

5)黑客直接攻击Web服务器系统,Web服务器在系统层面也可能存在漏洞,如果黑客利用其漏洞攻击了服务器系统,那么黑客获取了其权限,则可以在web服务器目录里上传webshell文件。

IIS日志的记录下,看到了入侵者利用akk.asp木马的所有操作记录。
 
详细入侵分析如下:  

原文:永利游戏平台,利用IIS日志追查网站入侵者 返回网络安全首页

三、WebShell能够肆虐的重要原因是什么?

GET /forum/akk.asp – 200  利用旁注网站的webshell在Forum文件夹下生成akk.asp后门  GET /forum/akk.asp d=ls.asp 200  入侵者登陆后门  GET /forum/akk.asp d=ls.asp&path=/test&oldpath=&attrib= 200 进入test文件夹  GET /forum/akk.asp d=e.asp&path=/test/1.asp&attrib= 200 利用后门在test文件夹修改1.asp的文件  GET /forum/akk.asp d=ls.asp 200  GET /forum/akk.asp d=ls.asp&path=/lan&oldpath=&attrib= 200 进入lan文件夹  GET /forum/akk.asp d=e.asp&path=/lan/index.html&attrib= 200 利用编辑命令修改lan文件夹内的首页文件  GET /forum/akk.asp d=ls.asp 200  GET /forum/akk.asp d=ls.asp&path=/forum&oldpath=&attrib= 200   进入BBS文件夹这下子真的进入BBS目录了)  POST /forum/akk.asp d=up.asp 200  GET /forum/akk.asp d=ls.asp&path=/forum&oldpath=&attrib= 200 GET /forum/myth.txt – 200  在forum的文件夹内上传myth.txt的文件  GET /forum/akk.asp d=ls.asp&path=/forum&oldpath=&attrib= 200   GET /forum/akk.asp d=e.asp&path=/forum/myth.txt&op=del&attrib= 200   POST /forum/akk.asp d=up.asp 200  GET /forum/myth.txt – 200 

1)WebShell能够被注入很大程度是由于win2003 IIS6.0的环境下造成的。在IIS6.0环境下,我们上传一个test.asp;.jpg的shell文件,发现在上传的时候,能够成功上传,因为监测为jpg的图片文件,但是在iis6.0解析的时候却当成了asp的动态网页文件被执行。因此我们知道webshell木马常见的特征:x.asp;.png,x.php;.txt...

利用后门修改Forum文件夹目录下的myth.txt文件。之后又再利用旁注网站的webshell进行了Ubb.asp的后门建立,利用akk.asp的后门修改了首页,又把首页备份。晕死啊,不明白这位入侵者是怎么一回事,整天换webshell进行利用,还真的摸不透啊。
 
入侵者是利用工具踩点,首先确定BBS可能存在的漏洞页面,经过测试发现不可以入侵,然后转向服务器的入侵,利用旁注专用的程序或者是特定的程序进行网站入侵,拿到首要的webshell,再进行文件夹的访问从而入侵了我的BBS系统修改了首页。

2)WebShell的恶意脚本是和正常的网页文件混在一起的,同时被黑客控制的服务器和远处主机都是通过80端口来传递数据的,不会被防火墙拦截,一般也不会在系统日志中留下记录,,具有极强的隐蔽性,一般不容易被查杀。

因为是基于我空间的IIS日志进行分析,所以不清楚入侵者是利用哪个网站哪个页面进行入侵的!不过都已经完成的资料收集了,确定了入侵BBS的入侵者IP地址以及使用的木马xiaolu编写的),还留下了大量入侵记录。整个日志追踪过程就完毕了,本文技术含量不高,只是希望给各位小黑和网管知道从IIS日志中可以看到入侵和被入侵都有迹可寻。

四、如何防止系统被植入WebShell?

...

1)web服务器方面,开启防火墙,杀毒软件等,关闭远程桌面这些功能,定期更新服务器补丁和杀毒软件。

2)加强管理员的安全意识,在服务器上不浏览不安全网站,定期修改密码,同时对服务器上的ftp类似的也要加强安全管理,防止被系统的木马感染。

3)加强权限管理,对敏感目录进行权限设置,限制上传目录的脚本执行权限,不允许执行脚本。建议用IIS6.0以上版本,同时不要用默认80端口。

4)程序修补漏洞,程序要优化上传x.asp;.png这样类似的文件。

【编辑推荐】

本文由永利集团登录网址发布于永利集团登录网址,转载请注明出处:网站被黑中毒WebShell木马的解决方案永利游戏平台

关键词:

  • 上一篇:没有了
  • 下一篇:没有了