百度快照被劫持跳转到博彩网站 终极解决办法



        近期受世界杯的影响,我们Sine安全公司接到很多中小企业网站频繁的被黑客入侵篡改了快照

,并跳转网站到博彩、赌博网站上去,等等的网站安全问题求助。主要客户网站问题基本都是反复

性质的篡改,手动清理删除掉代码只能解决当前问题,没过几天就又被篡改了内容,而且经常是篡改首

页顶部的代码.


 
1.网站快照被劫持问题分析与解决方案处理过程

 
下面我们分析下客户网站,客户是Linux系统的单独服务器,网站采用的是discuz论坛程序

+uchome,(PHP+mysql数据库架构)由于客户的网站在百度权重很高且权重为6,所以百度收录页

面也是秒收的,网站关键词的排名也很靠前。


网站被篡改跳转到博彩,以及收录一些博彩内容快照的攻击问题,困扰了客户整整三年,总是反反复

复的被篡改跳转。而且这些网站篡改都是隐蔽性非常强的,从百度搜索引擎搜索过来的手机用户,会

直接跳转到博彩网站,直接在输入网址则不会跳转。从我们这么多年网站安全维护的经验来看,这个

黑客是故意做了浏览器的判断,来让网站跳转到博彩上去,让网站的管理员无从下手寻找被跳转的

踪迹,通过我们sinesafe的安全审计部门技术,对网站的全面安全检测和代码安全审计,发现客户网站

的代码,存在任意文件上传漏洞,导致可以绕过文件名的后缀格式,从而进行上传网站脚本木马

,来达到篡改网站内容的攻击目的。

网站上传的木马文件的代码如下:



在上传的这段上传代码中可以看出,代码并没有对访问用户的上传文件格式进行判断,导致VIP用

户打开该页面就可以上传文件,在文件上传的同时并没有详细的对上传文件格式进行判断,导致

可以上传PHP脚本执行文件。严格来讲,这样是可以上传PHP脚本木马上去,也叫webshell脚本

木马,Webshell通俗来讲,就是一个可以控制网站所有内容的一个脚本木马可以对代码,进行读

写,上传以及篡改。通过上传的网站后门文件发现网站2015年之前就被黑客入侵了,入侵的途径

就是通过任意上传漏洞,上传了PHP脚本木马到网站里,并执行打开PHP木马,有了网站的权限,

进而对linux服务器进行提权,植入系统后门到系统的底层,达到隐藏的目的,肉眼察觉不到有任

何异常,当黑客需要连接服务器的时候,该内核级的Linux后门就会启动,并与黑客的IP进行

TCP连接,黑客可以绕过ROOT权限,直接远程修改服务器里的任何资料。


 
我们在对其服务器深入安全检测的同时,发现了apache任意查看网站目录文件的漏洞,在之前对

网站的安全检测当中发现,网站存在二级目录文件,可以任意查看文件目录,包括敏感的后台目

录文件,以及其他的相关敏感文件。


 
查到的网站后门木马,网站木马代码的路径是:

 
/ucenter/data/cache/app_bads1.php
 
mysql连接木马,如下图:
 
黑客可以通过该木马后门,对网站的数据库进行篡改.
 
ucenter/data/avatar/000/61/78/z.php
 
z.php   Cdaiao函数调用的木马后门。
 
ucenter/data/tmp/upload71494.php

 
劫持百度快照的木马,打开代码中ip的地址是时时彩以及赌博的内容。

看下网站之前的收录情况,看到网站也收录了时时彩相关的内容:


 
 
网站被收录了很多时时彩页面,导致网站权重迅速下降!对客户的影响也非常大。
 
2.网站快照被劫持问题之网站漏洞修复方案与防范

对网站的安全检测后,发现了非常重要的2个网站漏洞,我们Sinesafe安全技术对网站漏洞进行了修

复与加固,具体修复方法是:对所有代码进行检索,在网站的各项上传功能检测,发现该代码编写

的时候没有把上传的文件格式进行严格的过滤与判断,对代码进行修复过滤PHP文件的上传,或

者设置白名单机制,只能TXT,jpg,mp3,RAR,等格式的文件。我们对上传的目录ND_data,部署了

网站防篡改部署,禁止上传PHP脚本文件,只能上传TXT。

 

apache任意查看网站目录文件的漏洞修复:

 
在之前对网站的安全检测当中发现,网站存在二级目录文件,可以任意查看文件目录,包括敏感

的后台目录文件,以及其他的相关敏感文件。


 
网站漏洞修复:.htaccess文件
 
写入以下内容即可。
 
<Files *>
Options -Indexes
</Files>
 
1、定期检查服务器日志,检查是否有可疑的针对非前台页面的访问。
 
2、经常检查网站文件是否有不正常的修改或者增加。
 
3、关注操作系统,以及所使用程序的官方网站。如果有安全更新补丁出现,应立即部署,不

使用官方已不再积极维护的版本,如果条件允许,建议直接更新至最新版;关注建站程序方发

布的的安全设置准则。

 
4、系统漏洞可能出自第三方应用程序,如果网站使用了这些应用程序,建议仔细评估其安全性。
 
5、修改开源程序关键文件的默认文件名,黑客通常通过自动扫描某些特定文件是否存在的方

式来判断是否使用了某套程序。

 
6、修改默认管理员用户名,提高管理后台的密码强度,使用字母、数字以及特殊符号多种组合

的密码,并严格控制不同级别用户的访问权限。

 
7、选择有实力保障的主机服务提供商。
 
8、关闭不必要的服务,以及端口。
 
9、关闭或者限制不必要的上传功能。
 
10、设置防火墙等安全措施。
 
11、若被黑问题反复出现,建议重新安装服务器操作系统,并重新上传备份的网站文件。
 
12、对于缺乏专业维护人员的网站,建议向专业安全公司咨询,国内推荐Sinesafe,绿盟等比较

专业。

分享: