實際操作：網站木馬後面排查

yijiaer_san發表於2014-07-30
網站
晚上11點多，有一個做主機業務的朋友，聯絡到我說，他一客戶的網站，被掛彈窗，彈的是一成*人用品的網站。

網站大概情況，Linode東京高配的VPS，CentOS系統，LNMP環境，跑的Discuz X 2.5，訪問量不小。

開始先用下面這樣的命令查詢
find . -name "*.php" -print0 | xargs -0 grep -rn 'shell_exec'
webshell常用函式都查了一遍，並沒有發現可疑檔案。

但是朋友告之，網站最近二天都被改動過，不定時出現彈窗，然後過不久又消失。
以此判斷，作惡的人一定會訪問到webshell，通過webshell修改網站上的檔案 。
萬幸，伺服器上保留了大概三天的Nginx日誌。

把日誌檔案整理了下，執行下面的命令
cat *.log|grep "POST"|grep 200  | awk '{print $7}' |grep -o -E '.*.php' | sort -n | uniq -c
結果如下圖：
實際操作：網站木馬後面排查
這個命令的作用是把日誌裡被POST方式請求的檔案全部列出來。
從webshell流行起來開始，幾乎所有的webshell都以POST方式來提交操作請求，目的就是把引數在日誌裡隱藏掉，因為通常日誌並不會記錄POST引數。
但是物極必反，這一思路形成主流後反而給檢查提供了方便。

上面列出的這些檔案幾乎都檢查了一遍，多餘的就不多說了，最後問題確定在/source/archiver/common/footer.php這個檔案上，檔案內容如下圖：
實際操作：網站木馬後面排查
這個include一下就暴露了。

先到日誌裡查一下請求這個檔案用的GET引數，如下圖：
實際操作：網站木馬後面排查

順勢找到/uc_server/data/tmp/upload753178.jpg這個檔案 。
開啟後，在最後發現：
實際操作：網站木馬後面排查
到這裡，一切豁然開朗，這是菜刀的後門。

後記：
從日誌來看，三四天以來差不多每天會有一次動作，而每次用完菜刀，會到百度去搜尋某一個關鍵詞，而排第一的正是這個網站，然後再通過百度連結來訪問網站。可以看出，作惡者的目的是想劫持網站的百度等搜尋引擎流量 ，這樣搞一通下來，正是在做測試。但是劫持程式碼有問題，因為每次出彈窗的時候，直接開啟網站也會彈，也正是因為這樣，每次出現彈窗不久就又被作惡者去除。最後的結論是，1）木馬很久前就已經上傳，但是日誌已經不在，無法確定是怎麼傳上來的；2）現在搞彈窗的人並不是傳馬的人，很有可能是買來的。

來自 “ ITPUB部落格 ” ，連結：http://blog.itpub.net/29443697/viewspace-1242340/，如需轉載，請註明出處，否則將追究法律責任。

相關文章