正在为您跳转……(即将为您跳转)

某周五晚上,自己正舒服地躺在沙发上,手里的王者荣耀,米莱迪正在快乐地偷塔呢,突然一个电话打进来,一看是老板,心里一阵不祥的预感:看来这场游戏是不能善终了,兄弟们对不住了。

果不其然,事情是某机构运行了很多年的大型门户网站,突然发现有挂马病毒现象,页面会自动跳转某带颜色网站,某机构大领导十分气愤,影响十分恶劣,要求不惜任何代价,赶快恢复正常。

挂了电话,登上微信,发现自己已经被拉进交流群了,群里已经炸锅了,大领导正发飙呢,幸亏这网站不是我们团队开发,据说负责开发的团队已经排查一段时间了,然而并没有什么进展。

给网站清理个病毒木马有那么难么。

跟对方要来了服务器管理账号密码,发现这服务器安全等级确实够高,需要挂VPN,再登堡垒机,最后才能进入服务器。服务器安全等级已经这么高了,网站还能被挂马,看来漏洞一定是出在了网站源代码身上。

看了下服务器环境,是Windows系统+IIS7+PHP的组合。

然后复现问题,具体跳转情况是这样的:

  1. 用搜索引擎搜索网站关键词,在搜索结果中进入网站,然后网站被重定向到某带颜色的垃圾网站;
  2. 在浏览器地址栏中直接输入网站地址,正常访问,不会跳转;

以下是某带颜色网站截图:

正在为您跳转……(即将为您跳转)

很奇怪,竟然只有从搜索引擎搜索结果中访问网站才能自动跳转。

按照以往的排查经验,既然会自动跳转别的网站,那么一定是在源代码里加了跳转代码,代码里可能做了某些访问来源的判断,只有从搜索引擎过来的访客才跳转。

无论怎样,既然能跳转,那么跳转代码里肯定要有垃圾站的域名吧,先全局搜一下垃圾站域名看看。

先把整个门户网站的源代码下载到本地,才敢随意折腾。好家伙,这门户网站运行了近十年,源码压缩过后竟然有20G,有点吓人,按这服务器的5M带宽,恐怕要下载到天荒地老了。所以简单研究下代码结构,排除了一些图片上传目录,只剩下几百兆,搞了大半天终于下载完成。

用代码编辑器打开项目,发现网站是用一个绝迹多年的小众CMS系统开发,网上一查全是关于这个CMS漏洞百出的信息,不理解那么多优秀的开源CMS不用,非要用这个。

不管那么多,直接全局搜索垃圾站域名,理所当然地,什么也没搜到。既然如此,黑客肯定把域名加密或者编码了,最常见的是Base64了吧,所以把域名Base64编码一下继续搜,还是啥也没有。

然后又通过很多该不良网站的关键词去搜,也什么都没发现。

看来这黑客不是什么善茬。

正在为您跳转……(即将为您跳转)

最后只好用笨办法:挨个文件检查。

通常黑客植入的病毒代码,都是用工具自动写入的,代码的编写风格跟网站原本的风格会显得格格不入,比如缩进、变量命名规范、文件命名格式等等,所以挨个文件查找是极有可能发现的。

总之最后终于在缓存目录里发现了一个不大正常的文件

正在为您跳转……(即将为您跳转)

这个11.php太扎眼了。

通过URL的形式访问这个11.php,打开后是这样:

正在为您跳转……(即将为您跳转)

这下看到希望了,这是个功能齐全的远程操作工具。有了这个,不仅网站代码随便改,就连服务器都可以随意摆布了。

围绕这条线索,查出了很多病毒文件,全部一一清除。

按这进度,晚上应该还能来几局米莱迪吧,心里开始美起来了。

然而再次测试,网站依然自动跳转垃圾站!

难道是浏览器缓存问题?清理浏览器缓存,问题依旧。

难道是服务端缓存问题?清理服务端缓存,重启IIS,问题依旧。

我震惊了。

正在为您跳转……(即将为您跳转)

然后整个团队又骂骂咧咧地把网站文件全部又扒拉了一遍,确实没有病毒代码了。

代码已经干净了,不可能再跳转了啊,但是事实就摆在眼前。

无论多难以置信,虽然忙活了大半天,最后不得不承认:跳转垃圾站,不是网站源代码的问题。

既然不是源代码问题,那一定是IIS的问题了。难道是301重定向

正在为您跳转……(即将为您跳转)

打开重定向面板,发现啥也没配置,然后检查web.config,也没有异常。

既然如此,干脆删掉现有的网站服务,重新创建个应用池,重新绑定域名和目录,一顿操作之后,再次访问网站,仍然跳转垃圾站!

此时内心是绝望的,这么下去今晚是别想睡了。

但是,那句话怎么说的:

“只要努力就有希望。”

“现在所面对的问题也许正在迎来转机。”

当我把网站再次重启的时候,IIS突然报出一个错误:

正在为您跳转……(即将为您跳转)

HttpResetModule.dll,我怎么没见过这个东西呢,网上查了一下也没看到有这个东西的介绍,最终我大胆的猜想,是不是这个东西就不该存在呢。

为了早点睡觉,把心一横,就打算删掉这个模块看看。

进IIS模块管理:

正在为您跳转……(即将为您跳转)

在列表里找到HttpResetModule,删除!

正在为您跳转……(即将为您跳转)

删除得很顺利,然后再次进行测试,网站不跳转垃圾站了!

Holy Shit!黑客竟然做到了这一步!

到这里才彻底明白,黑客竟然改造了IIS,对方用提权工具拿到了服务器控制权限,然后给IIS加了一个额外的重定向模块,在网站里植入那么多的木马病毒文件只是烟雾弹,真凶竟然在IIS模块中,这位黑客实在是高。

看来这个服务器环境已经彻底不安全了,重装系统是必然的。另外这网站用了漏洞这么多的CMS系统开发,重构也是必然的,否则再次被入侵也只是时间问题。这就不关我们团队的事喽。

总之这次木马病毒清理难度还是比较高的,虽然累,但是成就感很足。最后把成果发到领导群里,表扬赞美之词略过不提。

本文内容由互联网用户自发贡献,该文观点仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容, 请发送邮件至 sumchina520@foxmail.com 举报,一经查实,本站将立刻删除。
如若转载,请注明出处:https://www.yoka8.cn/2309.html