实战｜应急响应之某公司的粗心导致网站被恶意篡改

首发于奇安信攻防社区

文章地址：https://forum.butian.net/share/874

一、事件说明

一日，某公司接到来自监管单位的通报，表示该公司的网站存在S情违规内容......于是乎我又得出发了，先是向客户要到了网站的地址先看看哪里存在违规的内容，滋补小铺一顿乱翻网站上的子页面都显示正常，回到首页按下F12果然网站的关键字标签那被修改了。

二、现场处置

拧着我的小电驴到达现场后，开始跟负责网站的管理员进行谈话了解当前的网络情况，当前网站呢是部署在四川西部数码服务商上的，租用的是虚拟空间并没有登录服务器的权限，平时维护更新文件是也都是通过FTP进行上传更新的，而且也未购买什么安全防护。

因为网站首页文件已经被修改了，直销百晓生所以我们看到index.html的修改日期为6月28号19:08分也就是在此时发生了篡改，值得注意的是当我们需要将FTP上的文件进行下载到本地电脑查看时，需要将虚拟空间上的源文件都打包成一个压缩包在下载下来，不然使用FTP一个个下载下来时文件的修改时间将是下载的当前时间，这样会对后面结合日志分析的溯源工作带来一定的困难。