建站知識

網(wǎng)站資訊動態(tài),網(wǎng)站建設(shè)知識,網(wǎng)站優(yōu)化SEO,營銷型網(wǎng)站建設(shè),手機(jī)網(wǎng)站建設(shè),搜索引擎營銷,常見問題解答,外貿(mào)網(wǎng)站建設(shè)等相關(guān)知識與動態(tài)。

您當(dāng)前所在位置:首頁 > 建站知識 > 網(wǎng)站建設(shè)知識 > 正文

網(wǎng)站被上傳木馬如何處理

2011-12-14

有時會收到一些客戶反映網(wǎng)站被黑,或被上傳木馬,當(dāng)用戶訪問網(wǎng)站時就會下載病毒或者木馬,殺毒軟件彈出病毒的提示。 這種情況是以下2種情況導(dǎo)致的:

第一種情況: 客戶網(wǎng)站存在文件上傳漏洞,導(dǎo)致黑客可以使用這漏洞,上傳黑客文件。然后黑客可以對該用戶網(wǎng)站所有文件進(jìn)行任意修改,這種情況比較普遍。針對這種情況, 用戶需要找技術(shù)人員。 檢查出網(wǎng)站漏洞并徹底修復(fù),并檢查看網(wǎng)站是否還有黑客隱藏的惡意文件。

原因: 很多網(wǎng)站都需要使用到文件上傳功能,例如很多網(wǎng)站需要發(fā)布產(chǎn)品圖片等。 文件上傳功能本來應(yīng)該具有嚴(yán)格的限定。 例如:只允許用戶只能上傳JPG,GIF等圖片。 但由于程序開發(fā)人員考慮不嚴(yán)謹(jǐn),或者直接是調(diào)用一些通用的文件上傳組件, 導(dǎo)致沒對文件上傳進(jìn)行嚴(yán)格的檢查。處理: 處理關(guān)鍵是要用戶自己知道自己網(wǎng)站哪些地方使用到了文件上傳功能。

重點針對這個文件上傳功能進(jìn)行檢查, 同時針對網(wǎng)站所有文件進(jìn)行檢查,排查可疑信息。 同時也利用網(wǎng)站日志,對文件被修改時間進(jìn)行檢查:

1) 查到哪個文件被加入代碼: 用戶要查看自己網(wǎng)頁代碼。根據(jù)被加入代碼的位置,確定到底是哪個頁面被黑, 一般黑客會去修改數(shù)據(jù)庫連接文件或網(wǎng)站頂部/底部 文件, 因為這樣修改后用戶網(wǎng)站所有頁面都會被附加代碼。

2) 查到被篡改文件后,使用Ftp查看文件最后被修改時間, 例如 Ftp里面查看到conn.asp文件被黑,最后修改時間是 2008-12-22 10:34 分, 那么可以確定在 2008-12-22日10:34 分這個時間 有黑客使用他留下的黑客后門,篡改了你的conn.asp這個文件。

注意:
1) 很多用戶網(wǎng)站被黑后,只是將被串改的文件修正過來。或重新上傳, 這樣是沒多大作用。 如果網(wǎng)站不修復(fù)漏洞。黑客可以很快再次利用這漏洞,對用戶網(wǎng)站再次入侵。
2) 網(wǎng)站漏洞的檢查和修復(fù)需要一定的技術(shù)人員才能處理。用戶需要先做好文件的備份。


第二種情況: 用戶本地機(jī)器中毒了。 修改了用戶自己本地的網(wǎng)頁文件。然后用戶自己將這些網(wǎng)頁文件上傳到服務(wù)器空間上了。 這種情況比較少。 如是這種情況用戶要先徹底檢查自己網(wǎng)站。

1. 這種病毒一般是搜索本地磁盤的文件,在網(wǎng)頁文件的源代碼中插入一段帶有病毒的代碼,而一般最常見的方式是插入一個 iframe ,然后將這個 iframe 的 src 屬性指向到一個帶有病毒的網(wǎng)址。

2. 如何檢測這種情況呢?
(1)瀏覽網(wǎng)站,右鍵查看源代碼,在源代碼里搜索 iframe ,看看有沒有被插入了一些不是自己網(wǎng)站的頁面,如果有,一般就是惡意代碼。
(2) 也是右鍵查看源代碼,搜索 "script" 這個關(guān)鍵字,看看有沒有被插入一些不是自己域名下的的腳本,如果有,并且不是自己放上去的,那很可能也有問題。

3.這種病毒怎么殺呢?
(1)有些人會說用查毒程序查過本地沒有發(fā)現(xiàn)病毒,這就要看看本地的網(wǎng)站文件是否帶有這些惡意代碼,如果有,那基本上可以肯定你的機(jī)器是曾經(jīng)中過毒的,這些病毒可能不是常駐內(nèi)存的,并且有可能執(zhí)行一次之后就將自己刪除,所以用查毒程序查不出來是很正常的。
(2)就算這些病毒是常駐內(nèi)存,殺毒程序也可能查不出來,因為這種病毒的原理很簡單,其實就是執(zhí)行一下文件磁盤掃描,找到那些網(wǎng)頁文件(如 asp php html)等格式的文件,然后打開它插入一段代碼,然后再保存一下。因為它修改的不是什么系統(tǒng)文件,病毒防火墻一般不會發(fā)出警告,如果它不是掛在一些系統(tǒng)進(jìn)程里,而是在某個特定的時刻運(yùn)行一下就退出,這樣被查出的可能性更少。
(3)手工刪除這些病毒的一般方法:
   a.調(diào)出任務(wù)管理器,看看有沒有一些不知名的程序在運(yùn)行,如果有,用windows的文件查找功能找到這個文件,右鍵查看屬性,如果這個可執(zhí)行文件的摘要屬性沒有任何信息,而自己又不知道是什么東西,那很可能有問題,然后上google搜索一個這個文件的信息,看看網(wǎng)上的資料顯示是不是就是病毒,如果是就先將其改名。。
  b. 打開注冊表編輯器,查看一下 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run有沒有一可疑的啟動項,有的話就刪除。
  c.查看本地機(jī)器的 windows 控制面板,看看“任務(wù)計劃”那里有沒有一些不是自己定義的任務(wù),如果有查看屬性,找到這個任務(wù)所執(zhí)行的可執(zhí)行文件是哪個,重復(fù)前面步驟 a 的方法進(jìn)行查殺??赡苓€有其它一些方法,可以在GOOGLE上搜索下。

4.中毒的常見原因:
一般是因為上了一些垃圾網(wǎng)站,這些網(wǎng)站有木馬,然后機(jī)器就中毒了,我們的服務(wù)器一般不會中毒的,中毒的可能性很少。至于說其它客戶上傳了一些有問題的程序然后令服務(wù)器中毒也是不成立的,因為普通的客戶的IIS進(jìn)程是沒有權(quán)限去修改其它客戶的網(wǎng)站的。

以上部分內(nèi)容(文字、圖片)收集于互聯(lián)網(wǎng),版權(quán)歸原作者所有。感謝每一位辛勤著寫的作者,感謝每一位的分享。免責(zé)聲明:如有侵犯您的原創(chuàng)版權(quán)請告知,我們將盡快刪除相關(guān)內(nèi)容,感謝您的理解與支持。
上一篇:什么是網(wǎng)站備案,為什么要備案? 下一篇:各省通信管理局電話

服務(wù)項目查看更多

免責(zé)聲明

非常感謝您訪問我們的網(wǎng)站,并請您仔細(xì)閱讀本聲明的所有條款:

1、本站部分內(nèi)容來源自網(wǎng)絡(luò),涉及到的部分文章和圖片版權(quán)屬于原作者,本站轉(zhuǎn)載僅供大家學(xué)習(xí)和交流,切勿用于任何商業(yè)活動。

2、本站不承擔(dān)用戶因使用這些資源對自己和他人造成任何形式的損失或傷害。

3、本聲明未涉及的問題參見國家有關(guān)法律法規(guī),當(dāng)本聲明與國家法律法規(guī)沖突時,以國家法律法規(guī)為準(zhǔn)。

4、如果侵害了您的合法權(quán)益,請您及時與我們聯(lián)系,我們會在第一時間刪除相關(guān)內(nèi)容!

聯(lián)系方式:023-65309616
電子郵件:543874515@qq.com

ENABLE YOUR BRAND
TO BURST INTO EXCELLENCE
中高端定制開發(fā)服務(wù)商
掃一掃,微信咨詢
130-7236-3699 543874515