服务器被上传jsp木马

有个老项目最近安全监测比较严，又双叒叕接到经理的任务，说某项目的图片文件夹里多了两个木马，让找下原因和更改办法。

吧木马代码复制一段放到百度搜一下，大多指向strut2漏洞，但查看了项目jar包都已经改成2.3.15.1了应该不存在漏洞问题，

然后在360网站进行认领监测得了98分，没有检测出漏洞问题（此刻对360的能力失去了信心），然后就找漏洞工具测啊测，

也没测出个因为所以。最后查看木马创建日期是7月4日,再在操作日志里查询7月4日的用户操作记录，发现有个叫test的用户创建了，

在上传资料事传了两个jsp文件（那时网站没有进行安全改造，文件不验证格式），这下知道了原来没用工具和漏洞直接传的木马，

也不知道原来网站是谁做的给我挖了这么大一个坑。 

最后删除木马文件,上传文件时验证是否有图片的长和宽（防止木马改后缀名）。