黑客真聪明, 向网站数据库注入木马脚本

通过Gogle搜了一下公司网站, 结果Gogle给出一个令人震惊的结果:

"该网站可能含有恶意软件，有可能会危害您的电脑。"

点击查看详情, Gogle给出了相关详细解释, 讲清楚了为什么网站会在搜索结果中被加上以下提示信息

Google 访问此网站时出现了什么情况？

我们过去 90 天内对此网站上的 1 张网页进行了测试，发现有 1 张网页在未经用户同意的情况下就会将恶意软件下载并安装到用户的机器中。Google 上次访问此网站的日期是 2009-09-12，上次在此网站中发现可疑内容的日期是 2009-09-12。

Malicious software includes 1 scripting exploit(s), 1 trojan(s), 1 exploit(s). Successful infection resulted in an average of 12 new process(es) on the target machine.

恶意软件托管在 4 个域上，其中包括 ds4ijf.cn/, z360.net/, cxdde.com/。

3 个域以传播媒介的身份向此网站的访问者散发了恶意软件，其中包括 ds4ijf.cn/, z360.net/, ee00r.2288.org/。

This site was hosted on 1 network(s) including AS17623 (CNCGROUP).

此网站是否托管了恶意软件？

没有，此网站在过去 90 天内未托管恶意软件。

这是如何发生的？

在某些情况下，第三方可以向合法网站添加恶意代码，我们会针对这种情况发出警告消息。

 

=================================================================

紧急调动资源, 清查各个环节.

1)分析: 发现几个可疑的地方, 一是黑客可能是利用Microsoft的IIS漏洞, 直接控制了我公司的网站访问权. 另一个可能是黑客利用FTP服务器软件的漏洞

2)网站程序源代码并没有任何更改

3)查看数据内容, 发现所有表的相关字段后面都被添加上去了的病毒导向代码, 这样, 这些内容一旦被网站运行, 用户端就会被安装一些木马软件. 从而成为肉鸡

我的疑问是:

1) 黑客是如何知道我公司数据库的字段结构的? 因为他要向数据库中注入病毒脚本, 就必须知道字段名称

2) 是通过何种方式注入的? 上次一个黑客利用Microsoft的SQL Server的存储过程漏洞,直接就删除了网站上的表, 后我们将所有危险存储过程全清理掉了, 则没有发生类似的情况, 但这次的情况看来又不一样....

3) 如何修复公司网站的系统漏洞?

咱将开始自己的探索之族, 揭开这个密! 因为我发现许多政府网站都被同样的注入了有毒脚本代码, 包括zjport.gov.cn(浙江海关网站),dl.gov.cn,shaanxijs.gov.cn/。等

-------------------------------------------------------------------------------------------------

来自 “ ITPUB博客 ” ，链接：http://blog.itpub.net/12878345/viewspace-614654/，如需转载，请注明出处，否则将追究法律责任。

转载于:http://blog.itpub.net/12878345/viewspace-614654/