经常有朋友联系到我，说网站后台打不开了，服务器供应商那边已经联系过了，说网站有木马
网站访问日志
网站有木马那边了得，我赶紧放弃外出，赶回家里给朋友排查网站后台打开慢的问题
我首先用了在线的木马查杀工具，清理了几十个文件。
网站处理完，一会又写入了一些木马脚本，后台仍然打不开
我将网站的程序目录直接删除，然后向网站上上传了最新版的程序，并打了补丁，将可能有安全隐患的脚本和目录一一删除。
（这个步骤如果想把网站程序里的木马清理干净，最好的办法就是将线上程序先删除干净，再从本地上传干净的程序到服务器上，然后再查杀木马。）
网站访问日志分析
将网站目录设置了相应的安全目录权限，然后打开网站的日志程序，仔细分析，可以看到这些攻击和木马脚本都是美国的服务器，可能是有组织的，专门攻击大站。当你的网站收录量有几十万的时候，就会被这些人盯上。
宝塔面板屏蔽ip段
我所使用的是宝塔面板5.9，在安全管理里我将统计到的非法攻击的IP段都添加到IP黑名单中，这样即可屏蔽这些黑客主机的访问。
宝塔面板后台左侧点击软件管理
nginx设置过滤器
从宝塔面板后台里找到软件管理->nginx->设置，再点到过滤器的标签页里面，把除了POST过滤之外的过滤全部打开（POST过滤如果开启的话会影响网站后台fckeditor的内容提交，至今还没发现好的解决方法，如果您有好的解决方法，请留言告诉我一下。）
点击编辑规则，然后再点击User-Agent
找到
(HTTrack|Apache-HttpClient|harvest|audit|dirbuster|pangolin|nmap|sqln|hydra|Parser|libwww|BBBike|sqlmap|w3af|owasp|Nikto|fimap|havij|zmeu|BabyKrokodil|netsparker|httperf|bench|| SF/)
替换为
(HTTrack|Apache-HttpClient|harvest|audit|dirbuster|pangolin|nmap|sqln|hydra|Parser|libwww|BBBike|sqlmap|w3af|owasp|Nikto|fimap|havij|zmeu|BabyKrokodil|netsparker|httperf|bench|AhrefsBot|SemrushBot|MJ12bot| SF/)
注意，上面这个替换规则是我通过查看网站访问日志看到的，如果你的网站里有主机头是aaa,bbb的也说不定啊，要根据您的实际需求和遇到的问题来整理，反正我采集别人网站的时候，经常把自己的爬虫标识成sogou。（sogou表示，这个锅我不背。)
如果配置完这些服务器上的网站后台仍然打不开，那么您可以重启一下电脑，重启完，对方就没有办法通过提交这些访问请求来攻击网站了。
如果您有更好的方法欢迎留言探讨，欢迎补充您的宝贵经验，欢迎说说您的网站安全维护经历。
发表评论