2018年10月27日接到新客户网站服务器被上传了webshell脚本木马后门问题的求助,对此
我们sine安全公司针对此阿里云提示的安全问题进行了详细分析，ECS服务器被阿里云提示异
常网络连接-可疑WebShell通信行为,还会伴有，网站后门-发现后门(Webshell)文件,以及提示
网站后门-一句话webshell的安全提示，但是大部分都是单独服务器ECS的用户,具体被阿里云
提示的截图如下：
点开消息后的内容为：受影响资产 iZ2393mzrytZ 访问者IP
Webshell URL
事件说明：云盾检测到有疑似黑客正在通过Webshell访问该服务器，可能是因为服务器上网
站存在漏洞被植Webshell或者因为已发现的Webshell未及时删除导致黑客入侵。黑客可通过
该Webshell窃取网站核心资料，篡改数据库等危险操作。
站存在漏洞被植Webshell或者因为已发现的Webshell未及时删除导致黑客入侵。黑客可通过
该Webshell窃取网站核心资料，篡改数据库等危险操作。
解决方案：建议按照告警中提示URL查找网站对应磁盘文件进行删除，并及时登录安骑士"网
站后门"控制台，对未隔离的后门文件进行及时隔离，避免更一步损失。
站后门"控制台，对未隔离的后门文件进行及时隔离，避免更一步损失。
看到这些阿里云提示内容后,我们对客户网站出现的问题进行分析,阿里云的提示是反复性的提
醒客户,比如9.26日被提示锅2次，过了网站被上传webshell文件后，又被阿里云安全提示,首
先我们要清楚为何会被提示可疑webshell通信行为以及网站后门-一句话webshell和发现后门
webshell文件,服务器里的网站程序存在漏洞导致被黑客入侵上传了webshell脚本后门文件。
醒客户,比如9.26日被提示锅2次，过了网站被上传webshell文件后，又被阿里云安全提示,首
先我们要清楚为何会被提示可疑webshell通信行为以及网站后门-一句话webshell和发现后门
webshell文件,服务器里的网站程序存在漏洞导致被黑客入侵上传了webshell脚本后门文件。
那么什么是阿里云提示的网站后门webshell文件呢？
webshell文件就是黑客通过网站的漏洞入侵并上传了一个脚本文件，而这个脚本文件语言有
很多种比如php文件，asp文件，aspx文件，jsp文件，具体什么是webshell？通俗容易理解
的意思就是这个脚本文件是木马后门，有强大的管理功能可以修改网站目录下的所有文件,如
果服务器中网站目录安全权限设置的不当,可以浏览整个服务器里的盘符，以及网站文件任意
修改,具体这个webshell文件到底有多强大看下截图就知道了,如图：
很多种比如php文件，asp文件，aspx文件，jsp文件，具体什么是webshell？通俗容易理解
的意思就是这个脚本文件是木马后门，有强大的管理功能可以修改网站目录下的所有文件,如
果服务器中网站目录安全权限设置的不当,可以浏览整个服务器里的盘符，以及网站文件任意
修改,具体这个webshell文件到底有多强大看下截图就知道了,如图：
一般这个后门脚本文件的大小在50KB到150KB之间,具体这个后门webshell文件的代码内容
是什么呢那么我来截图给大家看下：
是什么呢那么我来截图给大家看下：
看到上述图片中的功能了吗，这就是网站后门webshell文件,这个木马代码可以对网站进行篡
改,网站经常被篡改跳转到博彩网站上去，以及数据被篡改,都是因为网站有漏洞才导致被上
传了这些脚本后门webshell文件。
改,网站经常被篡改跳转到博彩网站上去，以及数据被篡改,都是因为网站有漏洞才导致被上
传了这些脚本后门webshell文件。
那么什么是网站后门一句话webshell的呢？
上面第一个介绍了什么是webshell文件,大家了解后会对这个一句话webshell不太理解,那么
由我们sine安全通俗给大家来讲就是用简短的程序后门代码构造成的脚本文件就是一句话
webshell文件,具体事例如图：
由我们sine安全通俗给大家来讲就是用简短的程序后门代码构造成的脚本文件就是一句话
webshell文件,具体事例如图：
代码很小，只有一行的代码，所以会被称为一句话webshell，主要功能就是通过POST的
方式去提交参数，并可以上传任意文件到网站的目录下，而且这个webshell木马,利于隐
蔽或嵌入到任意程序文件中来混淆，而且特殊隐蔽性质的一句话webshell是无法通过阿
里云安全所扫描到而提示的。
方式去提交参数，并可以上传任意文件到网站的目录下，而且这个webshell木马,利于隐
蔽或嵌入到任意程序文件中来混淆，而且特殊隐蔽性质的一句话webshell是无法通过阿
里云安全所扫描到而提示的。
接下来我们来了解一下可疑WebShell通信行为是什么就会通过上述两个问题的分析就会
大体知道具体意思了。
大体知道具体意思了。
那么什么是异常网络连接-可疑WebShell通信行为呢？
就是通过网站漏洞上传了后门webshell文件后通过网址形式的访问并且操作了上传或修改
文件的这个通信过程就会被提示为异常网络连接-可疑WebShell通信行为。
文件的这个通信过程就会被提示为异常网络连接-可疑WebShell通信行为。
如何解决总被上传后门webshell文件？
1.对网站进行详细的网站安全检测,以及网站漏洞的检测对网站代码的安全审计,比如对图片
上传进行扩展名的严格过滤以及对图片目录进行脚本权限限制，对生成静态文件权限进行
控制只允许生成html和htm.
上传进行扩展名的严格过滤以及对图片目录进行脚本权限限制，对生成静态文件权限进行
控制只允许生成html和htm.
2.网站发布文件内容编辑器的使用一定要先验证管理员权限才能使用编辑器,对网站的后台
管理目录千万别用默认的文件名为admin或guanli或manage等.
管理目录千万别用默认的文件名为admin或guanli或manage等.
3.服务器安全方面要加强对磁盘目录的权限防止跨目录浏览和修改,以及网站iis进程或
apache进程运行的账户进行单独账户设置出来分别授予权限。
apache进程运行的账户进行单独账户设置出来分别授予权限。
4.网站中要对sql注入攻击进行防范,对提交中的内容进行过滤或转义,对网站管理员的密码
进行加强设置为大小写字母和数字加符号的组合最低12位以上。
进行加强设置为大小写字母和数字加符号的组合最低12位以上。
5.尽量不要用开源的程序如dedecms,metinfo,WordPress,ecshop,zencat,Discuz,phpcms,
帝国cms等等如果对程序代码不熟悉的话建议找专业做网站安全公司来处理此问题,国内
推荐Sine安全公司,绿盟,启明星辰等等安全公司。
帝国cms等等如果对程序代码不熟悉的话建议找专业做网站安全公司来处理此问题,国内
推荐Sine安全公司,绿盟,启明星辰等等安全公司。
6.单独服务器linux系统和win2008,win2012系统的服务器安全加固以及网站安全部署都要
详细的进行防护,因为即使网站程序再安全,服务器不安全的话那么照样还是会被牵连，
所以说知己知彼才能百战百胜,希望各位有此问题的朋友多多了解这个问题的严重性以及
问题的解决方案。
详细的进行防护,因为即使网站程序再安全,服务器不安全的话那么照样还是会被牵连，
所以说知己知彼才能百战百胜,希望各位有此问题的朋友多多了解这个问题的严重性以及
问题的解决方案。
