临近2019年底，网站安全事件频发，攻击者加大了对网站的攻击力度，一定是在为过年钱做准备，大捞一把过个好年。就在最近，某客户网站被入侵并被篡改了首页代码，网站从搜索引擎打开直接跳转到了彩//piao网站上去了，通过朋友介绍找到我们做网站安全服务，防止网站被攻击，恢复网站的正常访问，关于此次安全事件的应急处理，以及如何做网站的安全加固，我们通过文章的形式记录一下。
2019年12月18日晚10.00，刚准备收拾收拾下班，接到客户的电话，说是公司网站被入侵了，网站首页代码的标题，描述，关键词，都被篡改成加密的字符，从百度点击进去直接跳转到什么彩//piao，菠菜网站上去了，听到客户的这些网站被攻击描述，可以确定网站被攻击了，并被劫持到彩//piao网站上了，针对这一情况我们立即启动安全应急响应小组，对客户的网站进行安全处理，防止攻击扩大化。
客户网站采用的是windows2012系统，php+mysql架构的thinkphp开发的网站，使用IIS作为网站的运行环境，像网站被入侵，服务器被攻击，代码篡改，网站被劫持跳转等攻击，我们处理了十多年了，第一反应是客户的服务器也被黑了，可能被提权加了管理员账户，又或者被植入了后门，导致网站一直处于被攻击状态。大体问题我们了解了，接下来就需要登录服务器进行详细的安全检测，包括网站代码的安全检测与网站漏洞检测，网站木马后门清除等一系列的相关安全服务。
登录服务器我们技术发现服务器被植入了木马后门，写在了系统文件里，并钩子关联到启动服务中，不管服务器如何重启，还是会执行攻击者植入的木马后门文件，我们随即对后门进行了清除，对服务器的端口进行了安全策略，限制了站内，站外的端口访问，只开放了80，针对远程端口做了IP白名单安全限制。紧接着最重要的安全问题就是客户的网站还是一直跳转，从百度点击进去就会不停的跳转，包括APP端也都一样的攻击症状，我们检查了首页代码发现代码被篡改了，截图如下
在百度里搜索网站，网站的快照并被百度网址安全中心提醒您：该站点可能受到黑客攻击，部分页面已被非法篡改！客户的网站还做的百度推广，导致流量一直下滑，损失较大，我们对首页代码的篡改内容进行了删除，恢复正常的网站访问，但问题并不是想象的那么简单，删除代码后，跳转的问题还是依旧，并没有解决，根据我们多年的安全经验来看，肯定是IIS被劫持了，也就是说IIS的配置文件可能被攻击者篡改了。对服务器的IIS配置文件进行查看，检查处理程序映射功能是否被植入恶意的DLL文件，仔细看了下，也没发现问题，继续追踪安全分析，也对web.config检查了，也没发现URL伪静态规则，看来攻击者还是有点技术手段，那也没有关系，既然问题确定在IIS里，肯定是写在那个配置文件中，随即我们对模块功能进行检查，发现了问题，被植入了恶意的DLL文件，导致该模块被应用到了IIS8.0当中，找到问题根源，处理起来就比较容易了，随即对该模块进行了清除，并iisreset命令重启了IIS环境，网站被入侵跳转的问题没有了。
接下来我们开始对客户网站的安全进行加固服务，仔细检查了网站存在的漏洞，以及木马后门，对thinkphp的每个文件代码都进行了详细的人工安全审计，发现thinkphp存在远程代码执行漏洞，导致攻击者无需任何权限，直接执行漏洞生成网站木马后门文件也叫webshell.在public目录下发现一句话木马后门，也叫PHP小马，我们对其进行删除，也对客户网站漏洞进行了修复，客户网站才得以安全。
有些客户觉得删除首页跳转代码就能解决问题，可是过不了几天网站又被攻击，根源问题在于网站漏洞没有修复，以及网站存在着webshell木马后门文件，只有真正的从根源上去入手，才能防止网站被攻击。如果自己对代码不是太懂的话，建议找专业的网站安全公司来处理，网站安全了带给客户的也是利益上的共赢，能帮助客户走多远，自己才能走的更远。
发表评论