近期受世界杯的影响,我们Sine安全公司接到很多中小企业网站频繁的被黑客入侵篡改了快照
，并跳转网站到博彩、赌博网站上去，等等的网站安全问题求助。主要客户网站问题基本都是反复
性质的篡改,手动清理删除掉代码只能解决当前问题,没过几天就又被篡改了内容,而且经常是篡改首
页顶部的代码.
1.网站快照被劫持问题分析与解决方案处理过程
下面我们分析下客户网站,客户是Linux系统的单独服务器，网站采用的是discuz论坛程序
+uchome,(PHP+mysql数据库架构）由于客户的网站在百度权重很高且权重为6,所以百度收录页
面也是秒收的，网站关键词的排名也很靠前。
网站被篡改跳转到博彩，以及收录一些博彩内容快照的攻击问题，困扰了客户整整三年,总是反反复
+uchome,(PHP+mysql数据库架构）由于客户的网站在百度权重很高且权重为6,所以百度收录页
面也是秒收的，网站关键词的排名也很靠前。
网站被篡改跳转到博彩，以及收录一些博彩内容快照的攻击问题，困扰了客户整整三年,总是反反复
复的被篡改跳转。而且这些网站篡改都是隐蔽性非常强的,从百度搜索引擎搜索过来的手机用户，会
直接跳转到博彩网站,直接在输入网址则不会跳转。从我们这么多年网站安全维护的经验来看，这个
黑客是故意做了浏览器的判断，来让网站跳转到博彩上去，让网站的管理员无从下手寻找被跳转的
踪迹,通过我们sinesafe的安全审计部门技术，对网站的全面安全检测和代码安全审计,发现客户网站
的代码，存在任意文件上传漏洞，导致可以绕过文件名的后缀格式，从而进行上传网站脚本木马
,来达到篡改网站内容的攻击目的。
网站上传的木马文件的代码如下:
在上传的这段上传代码中可以看出，代码并没有对访问用户的上传文件格式进行判断，导致VIP用
户打开该页面就可以上传文件，在文件上传的同时并没有详细的对上传文件格式进行判断，导致
可以上传PHP脚本执行文件。严格来讲，这样是可以上传PHP脚本木马上去，也叫webshell脚本
木马，Webshell通俗来讲，就是一个可以控制网站所有内容的一个脚本木马可以对代码，进行读
写，上传以及篡改。通过上传的网站后门文件发现网站2015年之前就被黑客入侵了，入侵的途径
就是通过任意上传漏洞，上传了PHP脚本木马到网站里，并执行打开PHP木马，有了网站的权限，
进而对linux服务器进行提权，植入系统后门到系统的底层，达到隐藏的目的，肉眼察觉不到有任
何异常，当黑客需要连接服务器的时候，该内核级的Linux后门就会启动，并与黑客的IP进行
TCP连接，黑客可以绕过ROOT权限，直接远程修改服务器里的任何资料。
户打开该页面就可以上传文件，在文件上传的同时并没有详细的对上传文件格式进行判断，导致
可以上传PHP脚本执行文件。严格来讲，这样是可以上传PHP脚本木马上去，也叫webshell脚本
木马，Webshell通俗来讲，就是一个可以控制网站所有内容的一个脚本木马可以对代码，进行读
写，上传以及篡改。通过上传的网站后门文件发现网站2015年之前就被黑客入侵了，入侵的途径
就是通过任意上传漏洞，上传了PHP脚本木马到网站里，并执行打开PHP木马，有了网站的权限，
进而对linux服务器进行提权，植入系统后门到系统的底层，达到隐藏的目的，肉眼察觉不到有任
何异常，当黑客需要连接服务器的时候，该内核级的Linux后门就会启动，并与黑客的IP进行
TCP连接，黑客可以绕过ROOT权限，直接远程修改服务器里的任何资料。
我们在对其服务器深入安全检测的同时，发现了apache任意查看网站目录文件的漏洞，在之前对
网站的安全检测当中发现，网站存在二级目录文件，可以任意查看文件目录，包括敏感的后台目
录文件，以及其他的相关敏感文件。
网站的安全检测当中发现，网站存在二级目录文件，可以任意查看文件目录，包括敏感的后台目
录文件，以及其他的相关敏感文件。
查到的网站后门木马，网站木马代码的路径是：
/ucenter/data/cache/app_bads1.php
mysql连接木马，如下图：
黑客可以通过该木马后门，对网站的数据库进行篡改.
ucenter/data/avatar/000/61/78/z.php
z.php Cdaiao函数调用的木马后门。
ucenter/data/tmp/upload71494.php
劫持百度快照的木马,打开代码中ip的地址是时时彩以及赌博的内容。
看下网站之前的收录情况，看到网站也收录了时时彩相关的内容：
看下网站之前的收录情况，看到网站也收录了时时彩相关的内容：
网站被收录了很多时时彩页面,导致网站权重迅速下降！对客户的影响也非常大。
2.网站快照被劫持问题之网站漏洞修复方案与防范
对网站的安全检测后，发现了非常重要的2个网站漏洞,我们Sinesafe安全技术对网站漏洞进行了修
复与加固,具体修复方法是：对所有代码进行检索，在网站的各项上传功能检测，发现该代码编写
的时候没有把上传的文件格式进行严格的过滤与判断，对代码进行修复过滤PHP文件的上传，或
者设置白名单机制，只能TXT,jpg,mp3,RAR,等格式的文件。我们对上传的目录ND_data，部署了
网站防篡改部署，禁止上传PHP脚本文件，只能上传TXT。
对网站的安全检测后，发现了非常重要的2个网站漏洞,我们Sinesafe安全技术对网站漏洞进行了修
复与加固,具体修复方法是：对所有代码进行检索，在网站的各项上传功能检测，发现该代码编写
的时候没有把上传的文件格式进行严格的过滤与判断，对代码进行修复过滤PHP文件的上传，或
者设置白名单机制，只能TXT,jpg,mp3,RAR,等格式的文件。我们对上传的目录ND_data，部署了
网站防篡改部署，禁止上传PHP脚本文件，只能上传TXT。
apache任意查看网站目录文件的漏洞修复：
在之前对网站的安全检测当中发现，网站存在二级目录文件，可以任意查看文件目录，包括敏感
的后台目录文件，以及其他的相关敏感文件。
的后台目录文件，以及其他的相关敏感文件。
网站漏洞修复：.htaccess文件
写入以下内容即可。
<Files *>
Options -Indexes
</Files>
1、定期检查服务器日志，检查是否有可疑的针对非前台页面的访问。
2、经常检查网站文件是否有不正常的修改或者增加。
3、关注操作系统，以及所使用程序的官方网站。如果有安全更新补丁出现，应立即部署，不
使用官方已不再积极维护的版本，如果条件允许，建议直接更新至最新版；关注建站程序方发
布的的安全设置准则。
使用官方已不再积极维护的版本，如果条件允许，建议直接更新至最新版；关注建站程序方发
布的的安全设置准则。
4、系统漏洞可能出自第三方应用程序，如果网站使用了这些应用程序，建议仔细评估其安全性。
5、修改开源程序关键文件的默认文件名，黑客通常通过自动扫描某些特定文件是否存在的方
式来判断是否使用了某套程序。
式来判断是否使用了某套程序。
6、修改默认管理员用户名，提高管理后台的密码强度，使用字母、数字以及特殊符号多种组合
的密码，并严格控制不同级别用户的访问权限。
的密码，并严格控制不同级别用户的访问权限。
7、选择有实力保障的主机服务提供商。
8、关闭不必要的服务，以及端口。
9、关闭或者限制不必要的上传功能。
10、设置防火墙等安全措施。
11、若被黑问题反复出现，建议重新安装服务器操作系统，并重新上传备份的网站文件。
12、对于缺乏专业维护人员的网站，建议向专业安全公司咨询,国内推荐Sinesafe,绿盟等比较
专业。
专业。
