阿里云盾提醒网站被WebShell木马后门分析与对策
收到阿里云用户朋友的反馈,说运行了一年的网站突然遭到黑客的攻击,系统cpu一直保持在100%,有进程也干不掉,然后客户就进行杀毒了,然后就把所有的exe文件都杀了,然后系统也就很多功能不正常了,数据库的服务也干掉了,然后我去看了下,发现网站目录下面被上传了大量的asp、php,htm的页面,里面的目录也有黑客上传了自己的目录,浏览哪些defalut.asp等方面的页面,就是黑客植入的页面,那要是被用户看见了,那真是一炮走红啊,黑客还很牛B的留下了脚印,果断写了自己的大名,在这种情况下,意识到这是中了WebShell木马,我立刻关闭了网站,然后来找解决方案。
一、什么是WebShell木马?
WebShell通常是以asp、php、jsp、asa或者cgi等网页文件形式存在的—种命令执行环境,也可以称为—种网页后门。黑客在入侵网站后,通常会将WebShell后门文件与网站服务器WEB目录下正常的网页文件混在—起,然后就可以使用浏览器来访问这些后门,得到命令执行环境,以达到控制网站或者WEB系统服务器的目的。这样就可以上传下载文件、查看数据库、执行任意程序命令等。
二、WebShell是如何入侵系统的?
1)利用系统前台的上传业务,上传WebShell脚本,上传的目录往往具有可执行的权限。在web中有上传图像、上传资料文件的地方,上传完后通常会向客户端返回上传的文件的完整URL信息,有时候不反馈,我们也可以猜到常见的image、upload等目录下面,如果Web对网站存取权限或者文件夹目录权限控制不严,就可能被利用进行webshell攻击,攻击者可以利用上传功能上传一个脚本文件,然后在通过url访问这个脚本,脚本就被执行。然后就会导致黑客可以上传webshell到网站的任意目录中,从而拿到网站的管理员控制权限。
2)客户获取管理员的后台密码,登陆到后台系统,利用后台的管理工具向配置文件写入WebShell木马,或者黑客私自添加上传类型,允许脚本程序类似asp、php的格式的文件上传。
3)利用数据库备份与恢复功能获取webshell。如备份时候把备份文件的后缀改成asp。或者后台有mysql数据查询功能,黑客可以通过执行select..in To outfile 查询输出php文件,然后通过把代码插入到mysql,从而导致生成了webshell的木马。
4)系统其他站点被攻击,或者服务器上还搭载了ftp服务器,ftp服务器被攻击了,然后被注入了webshell的木马,然后网站系统也被感染了。
5)黑客直接攻击Web服务器系统,Web服务器在系统层面也可能存在漏洞,如果黑客利用其漏洞攻击了服务器系统,那么黑客获取了其权限,则可以在web服务器目录里上传webshell文件。
三、WebShell能够肆虐的重要原因是什么?
1)WebShell能够被注入很大程度是由于win2003 IIS6.0的环境下造成的。在IIS6.0环境下,我们上传一个test.asp;.jpg的shell文件,发现在上传的时候,能够成功上传,因为监测为jpg的图片文件,但是在iis6.0解析的时候却当成了asp的动态网页文件被执行。因此我们知道webshell木马常见的特征:x.asp;.png,x.php;.txt...
2)WebShell的恶意脚本是和正常的网页文件混在一起的,同时被黑客控制的服务器和远处主机都是通过80端口来传递数据的,不会被防火墙拦截,一般也不会在系统日志中留下记录,,具有极强的隐蔽性,一般不容易被查杀。
四、如何防止系统被植入WebShell?
1)web服务器方面,开启防火墙,杀毒软件等,关闭远程桌面这些功能,定期更新服务器补丁和杀毒软件。
2)加强管理员的安全意识,在服务器上不浏览不安全网站,定期修改密码,同时对服务器上的ftp类似的也要加强安全管理,防止被系统的木马感染。
3)加强权限管理,对敏感目录进行权限设置,限制上传目录的脚本执行权限,不允许执行脚本。建议用IIS6.0以上版本,同时不要用默认80端口。
4)程序修补漏洞,程序要优化上传x.asp;.png这样类似的文件。
阿里云盾提醒网站被WebShell木马后门分析与对策相关推荐
- 阿里云提醒 网站被WebShell木马后门的处理过程
昨晚凌晨收到新客户的安全求助,说是阿里云短信提示,网站有webshell木马文件被植入,我们SINE安全公司立即成立,安全应急响应小组,客户提供了阿里云的账号密码,随即登陆阿里云进去查看到详情,登陆云 ...
- 阿里云盾控制台在哪里?360网站安全检测不支持阿里云主机网站解决方法
阿里云盾控制台在哪里?360网站安全检测不支持阿里云主机网站解决方法 用了阿里云快3年了,不二版本感觉阿里云的服务器用户体验做得相当好,这也是为什么选择阿里云的原因,但是最近发现一个美中不足的问题,阿 ...
- 阿里云盾(云安全)是什么?有什么作用?
阿里云盾(云安全)是阿里巴巴集团多年来安全技术研究积累的成果,结合阿里云云计算平台强大的数据分析能力.为中小网站提供如安全漏洞检测.网页木马检测以及面向云服务器用户提供的主机入侵检测.防DDOS等一站 ...
- 漏洞:阿里云盾phpMyAdmin =4.8.1 后台checkPageValidity函数缺陷可导致GETSHELL
阿里云盾提示phpMyAdmin <=4.8.1会出现漏洞有被SHELL风险,具体漏洞提醒: 标题 phpMyAdmin <=4.8.1 后台checkPageValidity函数缺陷可导 ...
- 阿里云盾特点及防DDoS攻击服务介绍
阿里云盾特点及防DDoS攻击服务介绍 云盾是阿里巴巴集团多年来安全技术研究积累的成果,结合强大的威胁发现和分析能力,为用户提供一站式安全服务.云盾是阿里云产品的统称,核心产品是安骑士.DDoS防护.W ...
- [网站搭建] 阿里云搭建个人网站及域名绑定
前一篇"[网站搭建] 阿里云虚拟主机搭建及FTP文件上传"主要讲述了如何通过阿里云虚拟机搭建网站服务器,同时FTP上传文件,登录后进入控制台或管理界面,接下来的主要步骤如下图所示: ...
- 阿里云服务器的网站被提示该内容禁止访问的解决办法
最近手机短信和邮箱总是收到阿里云的违规URL通知,意思是网站存在违规URL地址,导致被短信或邮箱通知,关键问题是天天给我发这个通知,实在太烦了,直接阻断了域名被提示该内容被禁止访问,集团网站的领导打电 ...
- 个人站点配置免费HTTPS证书、nginx配置ssl证书、阿里云盾和站长之家两种
原文链接:https://www.aiprose.com/blog/20 相信大家都想让自己的站点支持https,今天就给大家介绍如何在个人站点中使用https,并使用nginx配置ssl证书.我们可 ...
- 如何卸载阿里云ECS服务器的阿里云盾和安骑士
阿里云盾是阿里云多年来安全技术研究积累的成果,结合阿里云云计算平台强大的数据分析能力.为中小网站提供如安全漏洞检测.网页木马检测以及面向云服务器用户提供的主机入侵检测.防DDOS等一站式安全服务. 购 ...
最新文章
- rabbitmq 网络分区错误
- dblclick,默认全选屏蔽
- 本文把 TCP/IP 讲绝了
- 洛谷-P3203 弹飞绵羊 分块
- 真格量化-隐含波动率购买
- android-hotfix(QQ空间思路)浅析
- python比较文件的修改时间,如何比较python中两个文件的修改日期?
- 2、网络编程之基于UDP示例
- java上传图片特征码到服务器,记一个Base64编码后经网络传输产生的问题
- 安装虚拟机工具 linux虚拟机访问windows文件夹
- HDU2602 Bone Collector【0/1背包+DP】
- 3700打印机和计算机连接,WNDR3700成功实现打印机服务器功能(刷机成WNDR3800)
- ubuntu系统重启后桌面分辨率减小的原因及解决方法
- Google关停中国区域翻译服务后继续使用Chrome自带翻译插件的方法教程
- Linus Torvalds的最新电脑配置
- [POI2008]枪战Maf
- 如何设置potplayer播放器把人声凸显出来并降噪?
- 鸡兔同笼 【用c语言求解 鸡兔同笼】c语言新手第二天实战
- 通讯录系统php源代码,eml企业通讯录管理系统经典版 PHP版 v5.4.14
- openssl交叉编译arm