网页篡改——模拟攻击

? 经过扫描发现目录下存在文件上传：upload.php，并且可以上传木马程序

1、发现公司网站存在文件上传的页面，尝试上传 webshell 可以成功

2、使用蚁剑连接 webshell 成功

3、在蚁剑中，修改公司首页的代码，在index.html中插入js代码，在页面中插入暗链

? 在页面中插入暗链后，只要 referer 中存在 baidu、google、sogou等的都会转到

4399.com 页面

? 也就是在以上这些搜索引擎中搜索到该站点，点击后，就自动会跳转到另一个站点

应急响应——事件处置

1、服务器可疑进程分析

? 使用 PCHunter、Procexp64 等工具对进程、服务、启动项、任务计划进行分析，未发现可疑进程

2、网站后门木马查杀

? 通过对网站目录进行后门木马查杀，发现网站目录下存在一句话木马文件，名为

default.php，上传时间为xxx （工具 D盾、河马等）

3、可疑用户分析

? 经过查看后，发现服务器存在隐藏用户 test$

? 通过计算机管理或者注册表中查看隐藏用户

4、日志分析

? 查看 Apache 相关日志PHP文件上传，查看是否有异常访问的日志

5、结论

（编辑：成都站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!