文档章节

服务器被挂Iframe木马的解决方法(不是IIS映射修改,也不是ARP病毒,并且网页文件源代码里没有

李朝强
 李朝强
发布于 2014/11/22 13:21
字数 688
阅读 29
收藏 1

今天访问公司的一个网站,突然发现网页显示不对,右键查看HTML代码,发现iframe了一个网站的js文件,不用说,肯定被挂马了。

进入服务器,看了下文件源代码里并没有这个iframe的代码,但整个服务器的所有网站访问后代码里都自动加了这个iframe代码。

我第一反应会不会是IIS映射被修改了啊,查看了下

里面也没什么被修改的

突然我想起以前大学的时候,学校网站也出现过这个问题,是当时疯狂的ARP病毒引起的,就是不是本机有病毒,网络中有混杂模式的机子。于是我想建议装一个ARP防火墙。网络上搜了下,说也可能是IIS里WEB服务扩展引起的,于是我又看了下,发现没什么问题。

最后我突然发现一个地方,有异常,就是这里,让我暂时解决了这个问题(可能系统中有DLL或EXE文件病毒了,还要系统杀毒才行,服务器不是我管,我也只能干着急了。)

如下图:

启动文档页脚,这里附加了一个htm文件,我用文本文档打开c:\windows\system32\com\iis.htm,发现里面就是这个 iframe的代码,而且这个htm正常情况也是没有的,于是我把起用文档页脚去掉,把这个htm文件删了,问题就暂时解决了(因为可能系统还有病毒,所 以算暂时解决吧)

网上很多人说自己服务器中了ARP病毒攻击,IIS尾巴之类的,如果都没能解决,请注意看下起用文档这个地方,希望对你有帮助。

以前也玩过一段时间马,不过好久没碰这些了,根据这个js文件,我找到了很多htm文件,都是病毒网站上的,我下载下来了,有空要好好分析分析,如果闲得慌,给他服务器扫描扫描,帮他服务器找找后门:)

 

------------------------------

刚刚看了下,原来做这种木马只需要在C:\WINDOWS\system32\inetsrv\MetaBase.xml插入一段代码就行了(C是系统盘),比如:

<IIsWebVirtualDir Location ="/LM/W3SVC/81120797/root"
  AccessFlags="AccessRead | AccessScript"
  AppFriendlyName="默认应用程序"
  AppIsolated="2"
  AppRoot="/LM/W3SVC/81120797/Root"
  AuthFlags="AuthAnonymous | AuthNTLM"
  DefaultDocFooter="FILE:C:\WINDOWS\system32\Com\aa.htm"

如上,在DefaultDocFooter="FILE:C:\WINDOWS\system32\Com\aa.htm"插入有木马的htm文件就行了,没什么难度,不过知道原理后,自己不要做破坏就行了。:)

本文转载自:http://www.cnblogs.com/Lawson/archive/2008/11/28/1343251.html

共有 人打赏支持
李朝强
粉丝 81
博文 280
码字总数 143721
作品 0
郑州
产品经理
我要尽力告诉大家!现在机房里头的ARP攻击已经没那么简单了!!!很严重!!!

我跟很多有托管服务器的朋友告诫了,如果托管的机房客户比较杂,千百个建议,必须在机器上预先绑定网关的 mac 地址。 现在的 ARP 攻击已经不单单是会让你服务器断网。 而是会直接绑架你首页的...

范堡
2011/06/29
1K
6
ARP攻击防制的基本方法_路由器怎么抵御ARP病毒

ARP欺骗攻击反复袭击,是近来网络行业普遍了解的现象,随着ARP攻击的不断升级,不同的解决方案在市场上流传。这里小编解释了ARP攻击防制的基本思想。我们认为读者如果能了解这个基本思想,就...

ARP攻击
2017/12/11
0
0
如何快速查找局域网内ARP病毒源,防止ARP攻击

三招快速找到ARP病毒源 第一招:使用Sniffer抓包  在网络内任意一台主机上运行抓包软件,捕获所有到达本机的数据包。如果发现有某个IP不断发送请求包,那么这台电脑一般就是病毒源。原理:...

故地南国
2017/06/12
0
0
网站被挂马的处理办法以及预防措施

喜欢的朋友可以关注下。 相信很多的朋友都有遇见过,通过百度快照访问一个网站被跳转到另一个目标网站。 这就说明网站被劫持了,那么黑客为什么要劫持这些网站呢?黑客一般选择什么样的网站下...

dsn727455218
08/09
0
0
iPhone 存高危漏洞秒变木马,幕后间谍公司惨遭曝光

网页中的数行 JavaScrip 代码就能破解你的 iPhone?这不是传说,以色列的一家间谍软件公司在至少在去年初就发现了这个漏洞,之后开发成监控软件卖给中东的情报机构。其主要通过短信传播。只要...

黎嘉诚
2016/08/28
27
0

没有更多内容

加载失败,请刷新页面

加载更多

下一页

day63-20180821-流利阅读笔记-待学习

性别歧视在日本:“我是女生,所以社会不让我学医” 毛西 2018-08-21 1.今日导读 大家在看病的时候,有留意过女医生的比例吗?在性别歧视现象十分严重的日本,男医生和女医生的比例达到了惊人...

aibinxiao
49分钟前
2
0
Ubuntu18.04 显卡GF-940MX安装NVIDIA-390.77

解决办法: 下面就给大家一个正确的姿势在Ubuntu上安装Nvidia驱动: (a)首先去N卡官网下载自己显卡对应的驱动:www.geforce.cn/drivers (b)下载后好放在英文路径的目录下,怎么简单怎么来...

AI_SKI
今天
4
0
深夜胡思乱想

魔兽世界 最近魔兽世界出了新版本, 周末两天升到了满级,比之前的版本体验好很多,做任务不用抢怪了,不用组队打怪也是共享拾取的。技能简化了很多,哪个亮按哪个。 运维 服务器 产品 之间的...

Firxiao
今天
1
0
MySQL 8 在 Windows 下安装及使用

MySQL 8 带来了全新的体验,比如支持 NoSQL、JSON 等,拥有比 MySQL 5.7 两倍以上的性能提升。本文讲解如何在 Windows 下安装 MySQL 8,以及基本的 MySQL 用法。 下载 下载地址 https://dev....

waylau
今天
2
0
微信第三方平台 access_token is invalid or not latest

微信第三方开发平台code换session_key说的特别容易,但是我一使用就带来无穷无尽的烦恼,搞了一整天也无济于事. 现在记录一下解决问题的过程,方便后来人参考. 我遇到的这个问题搜索了整个网络也...

自由的开源
今天
3
0

没有更多内容

加载失败,请刷新页面

加载更多

下一页

返回顶部
顶部