攻防实战：网络维护过程中的渗透与反渗透

　2008-10-30 13:29:59　来源：WEB开发网　闂傚倸鍊搁崐椋庢濮橆兗缂氱憸宥堢亱闂佸湱铏庨崰鏍不椤栫偞鐓ラ柣鏇炲€圭€氾拷

闂傚倸鍊搁崐椋庣矆娓氣偓楠炲鏁撻悩鎻掔€梺姹囧灩閻忔艾鐣烽弻銉︾厵闁规鍠栭。濂告煕鎼达紕校闁靛洤瀚伴獮鎺楀箣濠靛啫浜鹃柣銏⑶圭壕濠氭煙閻愵剚鐏辨俊鎻掔墛缁绘盯宕卞Δ鍐冣剝绻涘畝濠佺敖缂佽鲸鎹囧畷鎺戭潩閹典焦鐎搁梻浣烘嚀閸ゆ牠骞忛敓锟�

婵犵數濮烽弫鍛婃叏椤撱垹绠柛鎰靛枛瀹告繃銇勯幘瀵哥畼闁硅娲熷缁樼瑹閳ь剙岣胯鐓ら柕鍫濇偪濞差亜惟闁宠桨鑳堕崝锕€顪冮妶鍡楃瑐闁煎啿鐖奸崺濠囧即閵忥紕鍘梺鎼炲劗閺呮稒绂掕缁辨帗娼忛埡浣锋闂佽桨鐒﹂幑鍥极閹剧粯鏅搁柨鐕傛嫹闂傚倸鍊搁崐椋庢濮橆兗缂氱憸宥堢亱闂佸湱铏庨崰鏍不椤栫偞鐓ラ柣鏇炲€圭€氾拷　　闂傚倸鍊搁崐鐑芥嚄閼哥數浠氱紓鍌欒兌缁垶銆冮崨鏉戠厺鐎广儱顦崡鎶芥煏韫囨洖校闁诲寒鍓熷铏圭磼濡搫顫嶅銈嗗姉閸樠囧煡婢跺á鐔兼煥鐎ｎ兘鍋撴繝姘拺鐟滅増甯掓禍浼存煕閹惧鈽夐柍缁樻煥椤繈鎳滅喊妯诲闂備礁鎲＄粙鎴︺偑閺夋垟鏋旈柡鍐ｅ亾缂佺粯绋撴禒锕傚磼濮橆剦鐎抽梻浣哥－缁垶骞戦崶顒傚祦閻庯綆浜栭弨浠嬫煙闁箑澧い鏂垮€规穱濠囨倷椤忓嫧鍋撻弽褜娼栧┑鐘宠壘閸屻劎鎲歌箛娑樼疅闁圭虎鍠楅弲鎼佹煥閻曞倹瀚�

核心提示：我的一个朋友告诉我，说他们在访问自己公司网站时，攻防实战：网络维护过程中的渗透与反渗透，出来一大堆东西，而且杀毒软件还提示网页存在病毒，从文件中可以看出该挂马人绝对是一个团伙或者是一个老手，他不是对所有文件进行挂马，我的第一感觉就是公司服务器被人入侵了，（一）网站挂马检测和清除1.使用软件嗅探被挂马页面朋友将远程终端

我的一个朋友告诉我，说他们在访问自己公司网站时，出来一大堆东西，而且杀毒软件还提示网页存在病毒，我的第一感觉就是公司服务器被人入侵了。

（一）网站挂马检测和清除

1.使用软件嗅探被挂马页面

朋友将远程终端和公司网站名称告诉我后，我首先在虚拟机中使用URLSnooper软件对网站进行嗅探，果然网站多处文件被人挂马，如图1所示。登陆远程终端后，一看其服务器配置较高，带宽是20M光纤，访问网络的速度非常快，觉得是高质量肉鸡的首选，也难怪被人黑。

攻防实战：网络维护过程中的渗透与反渗透

图1 使用URLSnooper监听网站所有链接和访问

说明：

（1）URLSnooper是一款安全检查工具，就其名称意义就知道该软件是URL监视，个人感觉是一款捕捉网站是否挂马的好程序。URLSnooper安装比较简单，安装完毕后需要安装默认的抓包软件。

（2）确认网站被人挂马后，首先将网站文件进行了备份。

直接到网站根目录查看网站文件的最近的一些修改时间，从首页更改的时间为8月25日，因此可以借助系统的文件搜索功能搜索2008年8月24日至8月26日之间的文件，如图2所示，搜索出来好几十个文件，被修改文件很有特点，index.html、index.asp、conn.asp、top.asp、foot.asp以及js文件均被修改，从文件中可以看出该挂马人绝对是一个团伙或者是一个老手，他不是对所有文件进行挂马，而是有针对性的对一个关键文件进行挂马。

攻防实战：网络维护过程中的渗透与反渗透