就这眼神还玩儿鹰呢?被这木马安排的明明白白。

原梓番
530
文章
117
评论
2020/12/3116:37:15
评论
241 views

拿到手的是客户的站点,这个站点全部数据2.0G+,里面好多奇奇怪怪的文件,因为这个站点的功能也是奇奇怪怪,所以就打算安排在我的服务器上慢慢修改。结果安装了第二天腾讯云就给我报主机木马。

因为报的时候我在外面,又没有报第二次。我居然把这么重要的事情给忘了。

几天之后,我发现这个网站,点击任何位置,都会自动跳到一个牙医还是干嘛的外国站点。很明显被注入了木马。发现根目录下确实有好多可疑文件,而且多了一个~index.php,对没错,就是多了一个波浪号index.php。

找了好久好久,终于把可疑的文件都删掉了。

结果发现,还是TMD跳?

但也不是没有变化,因为跳的站点变了,本来是牙医,现在跳到一个保险的站点。

于是开始了第二轮寻找,才发现,每一个——这个站点下的每一个文件夹,里面都多了一个htaccess文件。每一个文件里都被写了伪静态跳转的内容。

够狠啊!

这样的文件一共有上百个,关键我目录下放的还不止一个客户的站点,这个故事告诉我们,冒险乱搞,就容易中毒……

把所有的多余的htaccess文件都删除了。你猜怎么着?

前台倒是不跳了,后台开始跳!

登录wp-admin后台,登录后等个一两秒,自动跳到了一个站点。

还是有变化,这下跳到的一个类似于什么咨询类的站点……这是中了多少病毒,但是让我纳闷的是,我那客户的站点,在他们自己的服务器上,居然是不会跳转的,还是能正常用的,也没想通是为什么,可能他们服务器版本太老了吧。

搞了半天有点一筹莫展,到淘宝找同行问了一圈,有几个稀里糊涂不知道,有一个说要收费500能处理,还以为多牛逼,结果来了操作和我一模一样,然后又说解决不了。

唉……至少说明,我的水平不低于同行。

别人是指望不上了,还是靠自己吧,经过了2个小时的严密排查,发现原来是入侵了我一个旧版的QQ客服插件——就是那个客户安排的插件,还是一句话代码,不属于shell病毒,也搜不出来,而且他们这个跳转的域名还加密了,导致查不出来。事实上影响的是插件页面的index.php。后台要加载插件,所以整个加载到插件位置的时候,就自动跳了。

以后我再也不乱安装客户的代码了。

匿名

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: