郑州企业网站百度快照被劫持跳转到博彩网站

　　我们郑州网站建设影响力科技接过很多中小企业网站频繁的被黑客入侵篡改了快照内容的网站安全问题导致打开网站被提示博彩页面,在搜索引擎中会被提示百度网址安全中心提醒您：该页面可能已被非法篡改！主要客户网站问题基本都是反复性质的篡改,手动清理删除掉代码只能解决当前问题,没过几天就又被篡改了内容,而且经常是篡改首页顶部的代码.

　　网站快照被劫持问题分析与解决方案处理过程

　　下面我们分析下客户网站,客户是Linux系统的单独服务器，网站采用的是discuz论坛程序+uchome(PHP+mysql数据库架构)由于客户的网站在百度权重很高且权重为6,所以百度收录页面也是秒收的，网站关键词的排名也很靠前。网站被篡改跳转到博彩，以及收录一些博彩内容快照的攻击问题，困扰了客户整整三年,总是反反复复的被篡改跳转。而且这些网站篡改都是隐蔽性非常强的,从百度搜索引擎搜索过来的手机用户，会直接跳转到博彩网站,直接在输入网址则不会跳转。从我们这么多年网站安全维护的经验来看，这个黑客是故意做了浏览器的判断，来让网站跳转到博彩上去，让网站的管理员无从下手寻找被跳转的踪迹,通过我们sinesafe的安全审计部门技术，对网站的全面安全检测和代码安全审计,发现客户网站的代码，存在任意文件上传漏洞，导致可以绕过文件名的后缀格式，从而进行上传网站脚本木马,来、达到篡改网站内容的攻击目的。网站上传的木马文件的代码如下:

　　百度快照被劫持跳转到博彩网站

　　在上传的这段上传代码中可以看出，代码并没有对访问用户的上传文件格式进行判断，导致VIP用户打开该页面就可以上传文件，在文件上传的同时并没有详细的对上传文件格式进行判断，导致可以上传PHP脚本执行文件。严格来讲，这样是可以上传PHP脚本木马上去，也叫webshell脚本木马，Webshell通俗来讲，就是一个可以控制网站所有内容的一个脚本木马可以对代码，进行读写，上传以及篡改。通过上传的网站后门文件发现网站2017年之前就被黑客入侵了，入侵的途径就是通过任意上传漏洞，上传了PHP脚本木马到网站里，并执行打开PHP木马，有了网站的权限，进而对linux服务器进行提权，植入系统后门到系统的底层，达到隐藏的目的，肉眼察觉不到有任何异常，当黑客需要连接服务器的时候，该内核级的Linux后门就会启动，并与黑客的IP进行TCP连接，黑客可以绕过ROOT权限，直接远程修改服务器里的任何资料。

　　我们在对其服务器深入安全检测的同时，发现了apache任意查看网站目录文件的漏洞，在之前对网站的安全检测当中发现，网站存在二级目录文件，可以任意查看文件目录，包括敏感的后台目录文件，以及其他的相关敏感文件。

　　查到的网站后门木马，网站木马代码的路径是：

　　/ucenter/data/cache/app_bads1.php

　　mysql连接木马

　　黑客可以通过该木马后门，对网站的数据库进行篡改.

　　ucenter/data/avatar/000/61/78/z.php

　　z.phpCdaiao函数调用的木马后门。

　　ucenter/data/tmp/upload71494.php

　　劫持百度快照的木马,打开代码中ip的地址是时时彩以及赌博的内容。

　　具体修复方法是：对所有代码进行检索，在网站的各项上传功能检测，发现该代码编写的时候没有把上传的文件格式进行严格的过滤与判断，对代码进行修复过滤PHP文件的上传，或者设置白名单机制，只能TXT,jpg,mp3,RAR,等格式的文件。我们对上传的目录ND_data，部署了网站防篡改部署，禁止上传PHP脚本文件，只能上传TXT。