加入收藏 | 设为首页 | 会员中心 | 我要投稿 | 在线留言 | RSS
成网科技业务包括域名空间企业网站制作
 
国际域名com/net/org仅售80元/年
1G独立空间(PHP+MYSQL)仅售600元/年
您当前的位置:首页 > 技术交流 > 网络安全 > 漏洞分析

服务器上网站被挂Iframe木马的解决方法

时间:2014-08-02 12:04:54  来源:互联网  作者:佚名  点击:

(挂马现象:非IIS映射修改,非ARP病毒,且源代码里没有iframe代码的)今天访问公司的一个网站,突然发现网页显示不对,右键查看HTML代码,发现iframe了一个网站的js文件,不用说,肯定被挂马了。 Fx6成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
Fx6成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
进入服务器,看了下文件源代码里并没有这个iframe代码,但整个服务器的所有网站访问后代码里都自动加了这个iframe代码。 Fx6成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
Fx6成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
我第一反应会不会是IIS映射被修改了啊,查看了下里面也没什么被修改的 Fx6成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
Fx6成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
突然我想起以前大学的时候,学校网站也出现过这个问题,是当时疯狂的ARP病毒引起的,就是不是本机有病毒,网络中有混杂模式的机子。于是我想建议装一个ARP防火墙。网络上搜了下,说也可能是IIS里WEB服务扩展引起的,于是我又看了下,发现没什么问题。 Fx6成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
Fx6成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
最后我突然发现一个地方,有异常,就是这里,让我暂时解决了这个问题(可能系统中有DLL或EXE文件病毒了,还要系统杀毒才行,服务器不是我管,我也只能干着急了。) Fx6成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
Fx6成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
如下图: Fx6成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
Fx6成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
启动文档页脚,这里附加了一个htm文件,我用文本文档打开c:/windows/system32/com/iis.htm,发现里面就是这个 iframe的代码,而且这个htm正常情况也是没有的,于是我把起用文档页脚去掉,把这个htm文件删了,问题就暂时解决了(因为可能系统还有病毒,所 以算暂时解决吧) Fx6成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
Fx6成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
网上很多人说自己服务器中了ARP病毒攻击,IIS尾巴之类的,如果都没能解决,请注意看下起用文档这个地方,希望对你有帮助。 Fx6成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
Fx6成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
以前也玩过一段时间马,不过好久没碰这些了,根据这个js文件,我找到了很多htm文件,都是病毒网站上的,我下载下来了,有空要好好分析分析,如果闲得慌,给他服务器扫描扫描,帮他服务器找找后门:) Fx6成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
Fx6成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
刚刚看了下,原来做这种木马只需要在C:/WINDOWS/system32/inetsrv/MetaBase.xml插入一段代码就行了(C是系统盘),比如: Fx6成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
Fx6成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
<IIsWebVirtualDirLocation ="/LM/W3SVC/81120797/root" Fx6成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
AccessFlags="AccessRead | AccessScript" Fx6成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
AppFriendlyName="默认应用程序" Fx6成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
AppIsolated="2" Fx6成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
AppRoot="/LM/W3SVC/81120797/Root" Fx6成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
AuthFlags="AuthAnonymous | AuthNTLM" Fx6成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
DefaultDocFooter="FILE:C:/WINDOWS/system32/Com/aa.htm" Fx6成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
Fx6成网科技_开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设
如上,在DefaultDocFooter="FILE:C:/WINDOWS/system32/Com/aa.htm"插入有木马的htm文件就行了,没什么难度,不过知道原理后,自己不要做破坏就行了。:)a 成网科技 www.it28.com竭诚为您服务!
开平网站建设_开平网站制作_开平企业网站_开平网页设计_江门网站建设_成网科技

更多
 


来顶一下
返回首页
返回首页
发表评论 共有条评论
用户名: 密码:
验证码: 匿名发表
推荐资讯
相关文章
栏目更新
栏目热门