域名預(yù)訂/競(jìng)價(jià)，好“米”不錯(cuò)過(guò)

2018.6.19當(dāng)天接到一位新客戶反映自己的網(wǎng)站被黑了,網(wǎng)站首頁(yè)也被黑客篡改了，網(wǎng)站首頁(yè)被加了一些與網(wǎng)站不相符的內(nèi)容與加密的代碼,導(dǎo)致百度網(wǎng)址安全中心提醒您：該頁(yè)面可能存在木馬病毒！網(wǎng)站在百度的收錄與快照也被劫持成什么世界杯投注，以及*，賭博等等的內(nèi)容，根據(jù)以上客戶給我們反映的網(wǎng)站被黑的問(wèn)題，我們Sine安全公司立即安排安全技術(shù)人員對(duì)客戶網(wǎng)站被黑的情況進(jìn)行了詳細(xì)的網(wǎng)站安全檢測(cè)與代碼的人工安全審計(jì),發(fā)現(xiàn)客戶網(wǎng)站首頁(yè)之前是經(jīng)常的被篡改,客戶只能刪除掉首頁(yè)文件，然后重新生成首頁(yè)，實(shí)在是反復(fù)被篡改的沒(méi)辦法了，才找到我們SINE安全公司來(lái)處理網(wǎng)站的安全問(wèn)題。

一.網(wǎng)站被黑的狀況分析

1.客戶的網(wǎng)站采用的是，織夢(mèng)DEDECMS系統(tǒng)（PHP+MYSQL數(shù)據(jù)庫(kù)架構(gòu)）,dedecms漏洞在近幾年實(shí)在是爆出了太多,但是現(xiàn)在用dedecms做網(wǎng)站以及平臺(tái)的也很多,一般企業(yè)站或做優(yōu)化排名的網(wǎng)站都是用這個(gè)織夢(mèng)的程序來(lái)做,優(yōu)化快,訪問(wèn)速度也快,全站可以靜態(tài)文件生成，方便管理更新文章，方便網(wǎng)站打開(kāi)的速度，以及關(guān)鍵詞方面的優(yōu)化與提升。通過(guò)與客戶的溝通了解，發(fā)現(xiàn)客戶的網(wǎng)站，只要是發(fā)布新的文章，并在后臺(tái)生成新的html頁(yè)面，或者生成首頁(yè)index.html,就會(huì)被攻擊者直接增加了一些加密的代碼與賭博的內(nèi)容,圖片如下：

網(wǎng)站被篡改的內(nèi)容都是加了一些什么，極速賽車(chē)，賭博，*、*，世界杯投注的與網(wǎng)站不相關(guān)的內(nèi)容,而且這個(gè)網(wǎng)站代碼還做了JS判斷跳轉(zhuǎn)，針對(duì)于Baidu搜索來(lái)的客戶，會(huì)直接跳轉(zhuǎn)到這個(gè)極速賽車(chē)、賭博、*的頁(yè)面，導(dǎo)致360提示*網(wǎng)站攔截,百度提示風(fēng)險(xiǎn)攔截的圖片如下：

網(wǎng)站在百度的搜索中會(huì)直接風(fēng)險(xiǎn)提示：百度網(wǎng)址安全中心提醒你：該頁(yè)面可能存在木馬病毒。

通過(guò)對(duì)客戶網(wǎng)站的所有代碼的安全檢測(cè)與代碼的人工安全審計(jì)，發(fā)現(xiàn)網(wǎng)站首頁(yè)index.html中的內(nèi)容被篡改，并發(fā)現(xiàn)在dedecms模板目錄文件下的index.htm文件也被篡改了。

我們來(lái)打開(kāi)index.htm模板文件，看下代碼：

極速賽車(chē)計(jì)劃軟件app下載_極速賽車(chē)开獎(jiǎng)直播_極速賽車(chē)注冊(cè)登錄-極速賽車(chē)官網(wǎng)平臺(tái)。  

下面的這一段代碼是加密的JS跳轉(zhuǎn)代碼，是根據(jù)百度搜索等相應(yīng)的條件，進(jìn)行判斷，然后跳轉(zhuǎn)，直接輸入網(wǎng)站域名不會(huì)跳轉(zhuǎn)。

上面查到一些加密的代碼，用編碼的解密查到，是一些*與*相關(guān)的內(nèi)容，我們把生成首頁(yè)后被篡改的內(nèi)容直接刪除掉，然后對(duì)其網(wǎng)站里留存下來(lái)的木馬病毒，以及木馬后門(mén)進(jìn)行清除，并做好網(wǎng)站的漏洞檢測(cè)與漏洞修復(fù)，部署網(wǎng)站防篡改方案。

二.網(wǎng)站被黑的清理過(guò)程記錄

1.網(wǎng)站經(jīng)過(guò)SINE安全技術(shù)的安全審計(jì)后，在安全的處理過(guò)程中發(fā)現(xiàn)網(wǎng)站根目錄下的datas.php文件內(nèi)容屬于assert類(lèi)型的一句話木馬。

那么既然發(fā)現(xiàn)有一句話木馬，那肯定是存在PHP腳本木馬的，隨即發(fā)現(xiàn)在css目錄下有個(gè)文件是base64加密的代碼,我們?cè)L問(wèn)該木馬地址，進(jìn)行了訪問(wèn)發(fā)現(xiàn)的確是木馬病毒的，所在圖片如下：

該P(yáng)HP腳本木馬的操作權(quán)限實(shí)在是太大了,對(duì)文件的編輯以及改名，以及執(zhí)行惡意的sql語(yǔ)句，查看服務(wù)器的系統(tǒng)信息都可以看的很清楚.對(duì)網(wǎng)站的所有程序代碼，進(jìn)行了木馬特征掃描，發(fā)現(xiàn)了N個(gè)網(wǎng)站木馬文件,怪不得客戶自己說(shuō)反反復(fù)復(fù)的出現(xiàn)被黑，網(wǎng)站被篡改的都快要吐血了。掃描到的木馬病毒如下圖所示：

這么多個(gè)腳本木馬后門(mén)，我們安全技術(shù)直接進(jìn)行了全部刪除清理,由于客戶網(wǎng)站用的是單獨(dú)的服務(wù)器。那么對(duì)服務(wù)器的安全也要進(jìn)行詳細(xì)的安全加固和網(wǎng)站安全防護(hù),查看到網(wǎng)站的mysql數(shù)據(jù)庫(kù)，分配給網(wǎng)站使用的是root權(quán)限，（用root管理員權(quán)限會(huì)導(dǎo)致整個(gè)服務(wù)器都會(huì)被黑，增加了攻擊風(fēng)險(xiǎn)）我們給客戶服務(wù)器增加了一個(gè)普通權(quán)限的數(shù)據(jù)庫(kù)賬戶分配給網(wǎng)站，數(shù)據(jù)庫(kù)的端口3306以及135端口445端口139端口都進(jìn)行了端口安全策略部署，杜絕外網(wǎng)一切連接，只允許內(nèi)網(wǎng)連接，對(duì)服務(wù)器進(jìn)行了詳細(xì)的服務(wù)器安全設(shè)置和部署，后續(xù)我們對(duì)網(wǎng)站的所有文件，代碼，圖片，數(shù)據(jù)庫(kù)里的內(nèi)容，進(jìn)行了詳細(xì)的安全檢測(cè)與對(duì)比，從SQL注入測(cè)試、XSS跨站安全測(cè)試、表單繞過(guò)、文件上傳漏洞測(cè)試、文件包含漏洞檢測(cè)、網(wǎng)頁(yè)掛馬、網(wǎng)頁(yè)后門(mén)木馬檢測(cè)、包括一句話小馬、aspx大馬、腳本木馬后門(mén)、敏感信息泄露測(cè)試、任意文件讀取、目錄遍歷、弱口令安全檢測(cè)等方面進(jìn)行了全面的安全檢測(cè)，與漏洞修復(fù)，至此客戶網(wǎng)站被黑的問(wèn)題才得以完美的解決。因?yàn)橹翱蛻舳际瞧骄惶毂淮鄹膬扇?，從做安全部署到今?0號(hào)，客戶網(wǎng)站訪問(wèn)一切正常，沒(méi)有被篡改。

三.針對(duì)于網(wǎng)站被黑的防護(hù)建議 

1.定期的更新服務(wù)器系統(tǒng)漏洞（windows 2008 2012、linux centos系統(tǒng)），網(wǎng)站系統(tǒng)升級(jí)，盡量不適用第三方的API插件代碼。

2.如果自己對(duì)程序代碼不是太了解的話，建議找網(wǎng)站安全公司去修復(fù)網(wǎng)站的漏洞，以及代碼的安全檢測(cè)與木馬后門(mén)清除，國(guó)內(nèi)推薦SINE安全公司、綠盟安全公司、啟明星辰等的網(wǎng)站安全公司，做深入的網(wǎng)站安全服務(wù),來(lái)保障網(wǎng)站的安全穩(wěn)定運(yùn)行，防止網(wǎng)站被掛馬之類(lèi)的安全問(wèn)題。

3.盡量不要把網(wǎng)站的后臺(tái)用戶的密碼設(shè)置的太簡(jiǎn)單化,要符合10到18位的大小寫(xiě)字母+數(shù)字+符號(hào)組合。

4.網(wǎng)站后臺(tái)管理的路徑一定不能用默認(rèn)的admin或guanli或manage 或文件名為admin.asp的路徑去訪問(wèn)。

5.服務(wù)器的基礎(chǔ)安全設(shè)置必須要詳細(xì)的做好,端口的安全策略，注冊(cè)表安全，底層系統(tǒng)的安全加固否則服務(wù)器不安全,網(wǎng)站再安全也沒(méi)用。

本文來(lái)源：http://www.sinesafe.com/article/20180620

申請(qǐng)創(chuàng)業(yè)報(bào)道，分享創(chuàng)業(yè)好點(diǎn)子。點(diǎn)擊此處，共同探討創(chuàng)業(yè)新機(jī)遇！