网站捉“虫”记（8.28更新：已基本确定入侵者身份） - MSCBSC 移动通信论坛

admin

管理员

发短消息

关注Ta

积分 159778
帖子 7597
威望 1285984 个
礼品券 1637 个
专家指数 1490
注册 2006-3-25
专业方向论坛管理
回答问题数 0
回答被采纳数 0
回答采纳率 0%

#1

大中小

使用道具

发表于 2012-08-26 03:36:11 只看楼主

本帖已被版主 nrmq 审核推荐到论坛首页

网站捉“虫”记

一开始看到有右下角“QQ中奖信息”，我淡然笑过，不可能是我们网站的，现在很多软件还有宽带运营商，经常在电脑右下角弹出窗口。接着又有几位会员反馈，这可不对了，赶紧查网站代码，果然被挂上了一段代码。
[attach]257289[/attach]
网址是隐藏的，真实的网址是：qqcom168.com（注意：请大家不要随意点击和打开我这里给出的网址，避免风险，我是以安全方式打开的），分析其代码，发现是随机弹出广告，也就是说不是每个都弹出广告，做得够隐蔽，难怪我这里一直都没发现这个现象。

弹出的一则欺诈的QQ中奖广告，并无恶意病毒。

[attach]257290[/attach]

论坛最近几年来由于做了防护措施，已很少有挂马的出现，以至于逐渐对安全变松懈了，这是需要检讨的地方，加上最近论坛的服务器从Windows转成了Linux，以前很多防护是在Windows环境做的，实际上到了Linux都已失效，导致确实被入侵挂马了。

挂马就像一些虫子，网站有了虫子，就要想办法把它们抓出来赶走。我不认为挂马者能有什么高超的技术，更别提人品，大多是依照某些教程，下载几个工具就搞“入侵”，必须打败并藐视他们！

初次较量

首先确定不是ARP欺骗挂马，挂马的论坛的几个关键JS文件，清理很简单，用备份的文件覆盖上去就可以了。没想到刚清理完几分钟，他立刻又挂上去了！

这说明两点：

1、能在文件挂马，说明对方已经进入了网站文件系统，并留下了自己的后门。
2、网站存在某处漏洞。

我们要做的也对应是：

1、清除挂马，同时防止他再挂。
2、查找网站存在的漏洞，并补上。
3、找出他已经在网站里留下的后门。

说起来貌似简单，做起来其实每项都很困难，第一个是首要任务，会员不断短信、QQ还有发帖反映，更要避免少数会员上当造成财产损失，不尽快解决，压力山大啊。

Linux系统作为服务器，性能绝对没得说，稳定，消耗资源小，一个两个月不去管它，照样运行飞速，不像Windows，运行越来越慢，几天就要去重启一次，遇到某个程序出错还可能就死在那儿了。可同样头大的是，Linux实在不熟悉，除了知道几个简单常用的指令外。以至于网站的安全上未能及时做好，首先是全站的文件都设置成了777（全部用户都有读写和运行权限），这样做的好处是网站不会因为权限问题出错，坏处就是一旦被入侵，挂马变得很容易。但设置文件权限的话，必须逐一设置，区别对待，例如上传目录、缓存目录等必须要给予可写入，否则网站运行就不正常了，网站的文件文件夹太多了，劳动量太大，只有先设置刚被挂马的几个关键位置。

第二步查漏洞，程序漏洞其实是个大海捞针的事情，除了显而易见的漏洞外，隐形的漏洞无处不在，只是发现没发现的问题，没有谁敢自称固若金汤。半天下来，找到和解决了几个漏洞，这里就不细说，大部分是功能插件上的。

第三步找后门程序。一般入侵后他必定会在网站留下后门，以方便你封堵漏洞后他再从他自己留的后门进来。这样，他必定会修改或新建文件在网站上，论坛包括附件在内有上百万个文件，目录和子目录无数，要找到它非易事，但修改和新建的文件上，有最后修改时间，根据这个时间查找要好找得多，但仍然是很多，且都要打开去看。

果然有，例如有个叫一句话木马的，就这么简单一段：eval($_POST[d]); 你没看错，这就是一个木马！他只要把这个放在网站的某个文件中，他就能在网站执行任何操作。杀毒软件之类的对这个是毫无查杀能力的，必须手动去寻找（再说了，Linux下真没什么杀毒软件，因为病毒基本不能在Linux上发作，真要在Linux杀毒也是为了不让它传播到Windows平台去）。找到几个给予清除了，当我真的不敢肯定是否还有，文件太多，谁知道它躲在哪儿呢？

继续较量

三步是做了，稍微轻松了一点，不过还是悬得很，但急也没用，我在这方面知识也匮乏，大多靠度娘和谷歌，还有就是在几个安全论坛上请教。国外一个大牛说：要用黑客的思维去网络安全才能做好。确实是，以后要多了解一下黑客技术。

傍晚带孩子出去散步没几分钟，突然收到副管yaochunlin发来短信：“论坛又被挂马了！”（这里要特别感谢yaochunlin，每次被挂马不到几分钟，他的短信就发来了，难道他随时都在线？呵呵。倒是我经常没带手机或看短信不及时或暂时回不到电脑前，惭愧惭愧）论坛上很多会员也发帖上图反映，哎，鸭梨山大，必须把他打下去才行！

打开网站一看，他把我锁住的关键目录给改名了，然后自己伪造一个目录放上去，完成了他的挂马，真狡猾！（到现在我仍然不明白，Linux系统中不可写文件为什么能改名），在这个关键文件上，我们往复争斗了很久，我尝试了很多权限方案，他都能改名，很多会员可能也看到了，论坛首页有时靠左排，有时居中间，靠左时是他赢，居中后是我赢，就是在拉锯战。最后我突然想到，把上级目录设成不可写，他不就不能重命名了？确实管用。

他能继续挂马，说明上面的第二步和第三步必有没清除干净的地方。继续苦逼的寻找。。终于找到一只大虫，它伪装成道具文件magic_hehe.inc.php ，不细看真看不出来（例如真正的道具文件，置顶卡道具magic_up.inc.php），说它是大虫，正是因为它集成了众多黑客攻击工具的文件，例如如何提权限、扫描端口，如何批量挂马，就是一个自动化的傻瓜黑客工具。清除之，再好好研究它。而且我发现了对方一个习惯，就是喜欢用“hehe”，给我的关键文件改名改成hehe，伪装文件里含hehe，里面的密码也是hehe。

果然清净了一段时间。

疯狂爆发

报复，这绝对是报复！接到yaochunlin的短信，我登录上网站一看，所有还未加权限的htm和php文件全部被挂马，别管是不是关键文件，而且，还包括我们那台搜索服务器（Windows系统的），额滴神，上万个文件啊。手动清理，得要到何年何月？Windows下还能找工具清理，Linux下baidu搜千万遍也没找到有。

自己动手，丰衣足食！我决定自己写一个，取名叫FK007，FK就不用说什么意思了，代表我当时的心情，007大家也知道什么意思，我羡慕的是007那套装备，期望它能像007的装备那样犀利。花了一个小时，FK007第一版出炉，果然犀利，所到之处，挂马扫清，每扫一个区域，立刻全部设好权限，巩固基地。搜索服务器Windows平台更好办，用我们几年前的防护策略，Macfee自定义规则，铜墙铁壁，绝非几个小毛贼能破。

对方被拦截后的疯狂表现：

[attach]257291[/attach]

接着我又写了另一个查找后门代码的FK008，使用已知的特征码和该入侵者的特征关键字“hehe”进行查找，终于找到了3个后门文件，终于处理完了，已是凌晨2点半，睡觉！

没有终结

安静了一天，我以为终于挡住了，稍松了一口气，可是魔高一丈，又出现了！我低落的心情无法用语言形容。。。

这次，它直接把我锁定的文件解锁，再写入挂马，我确实迷茫了：根据log查看，系统账号并没有被盗取，如何能解锁文件并挂马？

可能的地方确实很多，管理系统？数据库？FTP？……都没能得到证实，登录备用服务器，居然也发现明显的入侵痕迹，这样的话，入侵者可能首先进入的备用服务器，再从备用服务器进入的主服务器（因为备用服务器与主服务器建立有实时备份通道）

[attach]257292[/attach]

网站正是8月16日开始被挂马，这个入侵者在这天的痕迹明显，这确实是我的疏忽了，因为备用服务器没有对外开放，只是数据实时备份，以为没有必要做太多的安全措施，事实证明错了，世上的事情往往都是这样，破绽就存在于你认为最不可能的地方。

花了一整天的时间做备用服务器的安全，也算是亡羊补牢吧，其实安全这个事，只要门已被打开，做起来就要无比痛苦，因为在门没打开之前，你知道怎样关好门窗就好了，一旦被打开，你就非常艰难去查找它到底在哪个角落还藏了内鬼，我只有借助杀毒软件和我的FK007不断查了。

论坛还是时不时被挂上，从FK007上提取其中一个功能，写了一个自动查杀的工具，将使用方法发给了yaochunlin和其它版主，很多时候我没在线或在埋头研究的时候，都是他们在查杀，一段时间后，入侵者居然给部分已挂马的文件设定权限，来阻止我的自动查杀工具，真是令人发指。

后面的话

C友们多次反馈，甚至愤怒地质疑“难道管理员就不管了吗？”几次想写个帖子，都放弃了，一是想抓紧点时间去做，二是写这个帖子的时候仍然还没有彻底找到根源，都不好意思写，愧对大家。但最后还是决定写这个帖子，让大家了解到实际情况，同时，我相信高手在民间，大家一定会有好的建议。

我一向很鄙视这些假黑客，如同蝗虫一样鄙视，这次我们三台服务器都被入侵（在不同机房，相隔几百里），并且往复与我斗法，是否有目的和针对性暂且不论，确实占据了上风，我们被攻得措手不及，但我相信始终能彻底的解决它。我也要去开始了解黑客技术，相信用黑客的思维去做网络安全，才能做好。

如果论坛还出现弹窗“QQ中奖”，大家不用惊讶，不用理会它。如果你想让它彻底消失，也很简单，下面的方法可保绝对安全：

【复制到剪切板】 [ - ]

CODE:

最后，没什么大不了的，下面楼层奉上几张前几天在川西高原的照片，放松一下，看看美景，心情都要舒畅许多，都是单反拍的高清，可以下载做桌面哦。这几天论坛的事务没怎么处理，请大家见谅了。

入侵者大部分时候是利用手上的“肉鸡”进行入侵，以逃避对他的身份追踪，但狐狸也有露出尾巴的时候，经过我们对大量数据的排查，他几个不经意的登录，忘了或嫌麻烦没有使用“肉鸡”，于是，他的身份逐渐显露。

==================

最新进展：

（8月28日）入侵者的身份已基本锁定是来自广西桂林，详细信息如下：

登录时间：8月27日 13:33:42
登录IP地址：222.84.204.54广西桂林电信ADSL

敬告入侵者，回头是岸，我们是通信论坛，很多广西电信的会员，根据IP和登录时间查你的身份很容易，证据我已全部保留，再不停手必将追究你到底，你的行为已经触犯了法律。（广西电信数据业务的C友麻烦查该IP请私信给我或发邮件到mscbsc@163.com）

扫码关注5G通信官方公众号,免费领取以下5G精品资料

1、回复“YD5GAI”免费领取《中国移动：5G网络AI应用典型场景技术解决方案白皮书》

2、回复“5G6G”免费领取《5G_6G毫米波测试技术白皮书-2022_03-21》

3、回复“YD6G”免费领取《中国移动：6G至简无线接入网白皮书》

4、回复“LTBPS”免费领取《《中国联通5G终端白皮书》》

5、回复“ZGDX”免费领取《中国电信5G NTN技术白皮书》

6、回复“TXSB”免费领取《通信设备安装工程施工工艺图解》

7、回复“YDSL”免费领取《中国移动算力并网白皮书》

8、回复“5GX3”免费领取《 R16 23501-g60 5G的系统架构1》

共获得 23 次点评我要点评

exloding99 专家指数 +3
· 普及了不少安全知识！详细.. 发表与：2012-8-30 13:35:01
tj920425 专家指数 +8
· 还是说一句，回头是岸。我们是通信论坛 ... 详细.. 发表与：2012-8-29 18:06:36
找奶酪的老鼠专家指数 +8
· 辛苦了！对入侵者表示极度鄙视！详细.. 发表与：2012-8-29 14:15:06
namipan 威望 +20 个
· admin V5 详细.. 发表与：2012-8-29 13:14:45
hyiankang 专家指数 +1
· 加分，很专业的讨论详细.. 发表与：2012-8-28 17:52:09
mansfield 威望 +10 个
· 老大威武详细.. 发表与：2012-8-28 16:44:19
kyolibin 威望 +8 个
· 树大才招虫，发动坛友，杀虫。详细.. 发表与：2012-8-28 15:00:16
shiying19 威望 +6 个
· 管理员，辛苦详细.. 发表与：2012-8-28 10:57:35
decwcx 威望 +11 个
· admin辛苦详细.. 发表与：2012-8-28 10:46:02
zjn 专家指数 +3
· 辛苦了，谢谢呀！详细.. 发表与：2012-8-28 09:50:38
luntanguan 威望 +20 个
· 杀威棒打大虫详细.. 发表与：2012-8-28 08:30:29
flyda7805055 威望 +1 个
· 辛苦了，老大详细.. 发表与：2012-8-27 21:17:48
雨后的云霞威望 +10 个
· 老大辛苦了，给你捶捶背，^_^ 详细.. 发表与：2012-8-27 18:05:01
OscarDon 威望 +10 个
· 老大的辛苦，我们一定要理解！详细.. 发表与：2012-8-27 14:16:30
onlyjim 威望 +20 个
· 老大辛苦了！详细.. 发表与：2012-8-27 09:59:09
lbblbblbb 威望 +6 个
· 很强大的水帖,admin辛苦了！详细.. 发表与：2012-8-27 08:27:50
阿蔡威望 +1 个
· 感谢admin，终于没有再出现那烦恼的“ ... 详细.. 发表与：2012-8-27 08:24:37
无风无月专家指数 +5
· 辛苦了，admin，可惜我对这个一窍不通 ... 详细.. 发表与：2012-8-26 22:54:24
yaochunlin 专家指数 +10 , 威望 +60 个
· 我一般24小时在线，睡觉也放在旁边，只 ... 详细.. 发表与：2012-8-26 20:21:11
qwerrazxs 专家指数 +3
· 加分，很专业的讨论详细.. 发表与：2012-8-26 11:37:11
haiying 威望 +1 个
· 很专业的故障排查案例，admin牛！详细.. 发表与：2012-8-26 08:39:00
mao_mao 专家指数 +5 , 威望 +20 个
· adimn，大家为您致敬！详细.. 发表与：2012-8-26 08:36:25
nrmq 专家指数 +10 , 威望 +50 个
· admin威武！详细.. 发表与：2012-8-26 07:09:32

作者的更多帖子

mscbsc 官方微信：mscbsc888 （打开微信，在”发现“-”扫一扫“里扫描下面二维码即可）

[充值威望，立即自动到帐] [VIP贵宾权限+威望套餐] 另有大量优惠赠送活动，请光临充值中心
充值拥有大量的威望和最高的下载权限，下载站内资料无忧

admin

管理员

发短消息

关注Ta

积分 159778
帖子 7597
威望 1285984 个
礼品券 1637 个
专家指数 1490
注册 2006-3-25
专业方向论坛管理
回答问题数 0
回答被采纳数 0
回答采纳率 0%

#2

大中小

使用道具

发表于 2012-08-26 03:58:05 只看楼主

[attach]257294[/attach]

风吹草低见牛羊

高清大图：

DSC00649.rar (6.98 MB)

对本帖内容的看法？我要点评

mscbsc 官方微信：mscbsc888 （打开微信，在”发现“-”扫一扫“里扫描下面二维码即可）

[立即成为VIP会员，百万通信专业资料立即下载，支付宝、微信付款，简单、快速！]

admin

管理员

发短消息

关注Ta

积分 159778
帖子 7597
威望 1285984 个
礼品券 1637 个
专家指数 1490
注册 2006-3-25
专业方向论坛管理
回答问题数 0
回答被采纳数 0
回答采纳率 0%

#3

大中小

使用道具

发表于 2012-08-26 04:04:46 只看楼主

[attach]257295[/attach]

天之蓝，海拔4000米，没污染

高清大图：

DSC00457.rar (4.59 MB)

对本帖内容的看法？我要点评

mscbsc 官方微信：mscbsc888 （打开微信，在”发现“-”扫一扫“里扫描下面二维码即可）

admin

管理员

发短消息

关注Ta

积分 159778
帖子 7597
威望 1285984 个
礼品券 1637 个
专家指数 1490
注册 2006-3-25
专业方向论坛管理
回答问题数 0
回答被采纳数 0
回答采纳率 0%

#4

大中小

使用道具

发表于 2012-08-26 04:10:36 只看楼主

[attach]257298[/attach]

这是黄河，黄河曾经也是很清澈的

高清大图：

DSC00456.rar (5.05 MB)

对本帖内容的看法？我要点评

mscbsc 官方微信：mscbsc888 （打开微信，在”发现“-”扫一扫“里扫描下面二维码即可）

admin

管理员

发短消息

关注Ta

积分 159778
帖子 7597
威望 1285984 个
礼品券 1637 个
专家指数 1490
注册 2006-3-25
专业方向论坛管理
回答问题数 0
回答被采纳数 0
回答采纳率 0%

#5

大中小

使用道具

发表于 2012-08-26 04:18:03 只看楼主

[attach]257299[/attach]

大小牦牛

高清大图： DSC00530.rar (7.27 MB)

对本帖内容的看法？我要点评

mscbsc 官方微信：mscbsc888 （打开微信，在”发现“-”扫一扫“里扫描下面二维码即可）

admin

管理员

发短消息

关注Ta

积分 159778
帖子 7597
威望 1285984 个
礼品券 1637 个
专家指数 1490
注册 2006-3-25
专业方向论坛管理
回答问题数 0
回答被采纳数 0
回答采纳率 0%

#6

大中小

使用道具

发表于 2012-08-26 04:22:31 只看楼主

[attach]257301[/attach]

羊。羊。羊

对本帖内容的看法？我要点评

mscbsc 官方微信：mscbsc888 （打开微信，在”发现“-”扫一扫“里扫描下面二维码即可）

[2分钟拥有VIP权限和充足威望，可下载站内任何资料] [快速找到一份高薪的通信行业职位]

admin

管理员

发短消息

关注Ta

积分 159778
帖子 7597
威望 1285984 个
礼品券 1637 个
专家指数 1490
注册 2006-3-25
专业方向论坛管理
回答问题数 0
回答被采纳数 0
回答采纳率 0%

#7

大中小

使用道具

发表于 2012-08-26 04:31:48 只看楼主

[attach]257302[/attach]

好吧，我承认我趁深夜杀毒等待时间灌水了。。但灌的是一湾清澈的水，发帖不易，查挂马不易，希望来入侵挂马的，也看到这湾清澈的水，净化一下心灵吧

对本帖内容的看法？我要点评

mscbsc 官方微信：mscbsc888 （打开微信，在”发现“-”扫一扫“里扫描下面二维码即可）

pcx9988

钻石会员

发短消息

关注Ta

积分 14513
帖子 1632
威望 734805 个
礼品券 122 个
专家指数 45
注册 2007-6-6
专业方向
回答问题数 0
回答被采纳数 0
回答采纳率 0%

#8

大中小

使用道具

发表于 2012-08-26 06:22:17

感谢管理员的付出，辛苦了，

对本帖内容的看法？我要点评

feifeigoodbaby

银牌会员

发短消息

关注Ta

积分 2681
帖子 513
威望 2674 个
礼品券 5 个
专家指数 116
注册 2011-10-12
专业方向基站维护
回答问题数 0
回答被采纳数 0
回答采纳率 0%

#10

大中小

使用道具

发表于 2012-08-26 06:32:23

是啊，被“虫”咬了，就得赶紧抓“虫”，不然后患无穷，管理员辛苦了！
学海无涯，我们也得好好学习，武装自己，也去捉虫子去。

对本帖内容的看法？我要点评

帅帅的儿子--虎虎

[2分钟拥有VIP权限和充足威望，可下载站内任何资料] [快速找到一份高薪的通信行业职位]

哈喽123321

高级会员

发短消息

关注Ta

积分 1720
帖子 349
威望 13867 个
礼品券 5 个
专家指数 -25
注册 2010-11-19
专业方向无线
回答问题数 0
回答被采纳数 0
回答采纳率 0%

#11

大中小

使用道具

发表于 2012-08-26 07:54:25

强悍的管理员啊敬业

对本帖内容的看法？我要点评

[2分钟拥有VIP权限和充足威望，可下载站内任何资料] [快速找到一份高薪的通信行业职位]

haiying

版主

发短消息

关注Ta

积分 6511
帖子 971
威望 312421 个
礼品券 1659 个
专家指数 150
注册 2009-2-18
专业方向移动通信技术
回答问题数 0
回答被采纳数 0
回答采纳率 0%

#12

大中小

使用道具

发表于 2012-08-26 08:42:37

很强大的水帖

:victory:

对本帖内容的看法？我要点评

[2分钟拥有VIP权限和充足威望，可下载站内任何资料] [快速找到一份高薪的通信行业职位]

zhangqing822

论坛副管

发短消息

关注Ta

积分 125139
帖子 19185
威望 5189366 个
礼品券 2787 个
专家指数 3883
注册 2008-6-17
专业方向通信工程
回答问题数 0
回答被采纳数 0
回答采纳率 0%

#13

大中小

使用道具

发表于 2012-08-26 08:50:17

现在是不好弄这些木马的，主要是咱们是被动防守者。

对本帖内容的看法？我要点评

如果有什么问题可以联系我（微信号zhangqing822），微信公众号（奔跑的C友网优学习交流号），里面发布的主要针对通信新人，欢迎大家的关注。

zhaoshiming

初级会员

发短消息

关注Ta

积分 352
帖子 69
威望 8711 个
礼品券 0 个
专家指数 7
注册 2012-6-19
专业方向 3G
回答问题数 0
回答被采纳数 0
回答采纳率 0%

#14

大中小

使用道具

发表于 2012-08-26 08:54:02

管理员辛苦了，强烈鄙视挂马者！！！

对本帖内容的看法？我要点评

exloding99

资深元老

发短消息

关注Ta

积分 80330
帖子 8717
威望 5902081 个
礼品券 799 个
专家指数 5596
注册 2009-1-2
专业方向网络优化
回答问题数 0
回答被采纳数 0
回答采纳率 0%

#15

大中小

使用道具

发表于 2012-08-26 08:59:46

难得的经历啊~~这条虫逼一逼，管理员的水平立马上升了不少~~~

对本帖内容的看法？我要点评

[2分钟拥有VIP权限和充足威望，可下载站内任何资料] [快速找到一份高薪的通信行业职位]

快速回复主题
标题
内容	上传资料请点左侧【添加附件】


	您即将访问其它网站关闭您即将访问的地址是其它网站的内容，MSCBSC将不再对其安全性和可靠性负责，请自行判断是否继续前往继续访问取消访问，关闭

共获得 23 次点评 我要点评

对本帖内容的看法？ 我要点评

对本帖内容的看法？ 我要点评

对本帖内容的看法？ 我要点评

对本帖内容的看法？ 我要点评

对本帖内容的看法？ 我要点评

对本帖内容的看法？ 我要点评

对本帖内容的看法？ 我要点评

对本帖内容的看法？ 我要点评

对本帖内容的看法？ 我要点评

对本帖内容的看法？ 我要点评

对本帖内容的看法？ 我要点评

对本帖内容的看法？ 我要点评

对本帖内容的看法？ 我要点评

您即将访问其它网站关闭

共获得 23 次点评我要点评

对本帖内容的看法？我要点评

对本帖内容的看法？我要点评

对本帖内容的看法？我要点评

对本帖内容的看法？我要点评

对本帖内容的看法？我要点评

对本帖内容的看法？我要点评

对本帖内容的看法？我要点评

对本帖内容的看法？我要点评

对本帖内容的看法？我要点评

对本帖内容的看法？我要点评

对本帖内容的看法？我要点评

对本帖内容的看法？我要点评

对本帖内容的看法？我要点评