[摘要] 今天一个朋友找到我说他们的网站打不开了,让我帮忙看看啥原因?简单试了了用 chrome 和 firefox 浏览器访问都是提示该站点包含恶意软件,简单询问了一下该站点原来是使用dececms建站,所以初步怀疑是dececms的某个已知漏洞导致站点被挂马,然后被google的chrome和firefox列入了黑名单。
要来了站点的ssh权限,登上去看了一下,还真是挺神奇的,几乎所有的文件的最后都被加上了一段js代码,大概内容如下:
<SCRIPT Language=VBScript><!-- DropFileName = "svchost.exe"
grep DropFileName *.htm 匹配到二进制文件 ./templets/story_books.htm
grep一下关键字所有文件都变成了二进制文件(有需要恶意代码样本的可以联系我哟~):
本想收工改下,无奈文件太多了,一个一个文件删除要花费太长时间,于是使用了sed进行批量操作:
#删除 DropFileName = "svchost.exe" 之后的所有行 for i in `grep -r DropFileName *|awk -F\: '{print $1}'`;do ls $i;sed -i '/^DropFileName/,$d' $i;done #删除字符串: <SCRIPT Language=VBScript><\!\-\- for i in `grep -r "SCRIPT Language=VBScript" * | awk -F\: '{print $1}'`;do ls $i;sed -i 's/<SCRIPT Language=VBScript><!--//g' $i;done
再次grep验证下,整个发布目录已经没有了附加的js文件,顺便看了看是否有其他的可以文件,比如一句话木马文件等。
虽然暂时清理掉了可以的代码,但是网站还是提示包含恶意软件,应该是被列入了黑名单中,只能申请解封了。
于是根据firefox浏览器的提示,找到指定的链接,基本都是天朝404的站点,所以需要梯子才能正常访问,关键有个reCAPTCHA图片没梯子看不到。访问地址:https://www.stopbadware.org/review-search?url=http://some-badware-site
按照提示一步步提交即可。
(1)输入要查询的站点,发现确实再黑名单中:
(2)提交搜索
另外根据chrome浏览的提示可以找到这个链接:
https://safebrowsing.google.com/safebrowsing/report_error/?hl=en,提交你的域名等待就可以了。
大概也就半个小时,chrome已经放开了,站点恢复正常访问,firefox仍提示不安全,估计还要再等几个小时才能完全恢复。以上暂时告一段落,不过为啥所有文件会被注入了恶意js文件呢?
据了解这个dedecms并不是从官网下载,而且为了图方便,随便在网上找了一个模板改改就使用了,看了最原始的下载zip包,所有文件已经是包含了这个小尾巴,只是当时没有注意而已。看看网络安全是多么重要啊,要随时提高警惕,不能轻易从乱七八糟的站点下载东西,一些下载站基本没有对资源安全性的审核能力,更有甚者已经沦为了恶意软件的温床!