網(wǎng)站被上傳木馬原因、處理建議四、網(wǎng)站被上傳木馬原因、處理建議有時會收到一些客戶反映網(wǎng)站被黑，或被上傳木馬，當用戶訪問網(wǎng)站時就會下載 病毒或者木馬，殺毒軟件彈出病毒的提示。這種情況是以下 2 種情況導致

網(wǎng)站被上傳木馬原因、處理建議

四、網(wǎng)站被上傳木馬原因、處理建議

有時會收到一些客戶反映網(wǎng)站被黑，或被上傳木馬，當用戶訪問網(wǎng)站時就會下載 病毒或者木馬，殺毒軟件彈出病毒的提示。這種情況是以下 2 種情況導致的： 第一種情況：客戶網(wǎng)站存在文件上傳漏洞，導致黑客可以使用這個漏洞，上傳黑客文 件。然后黑客可以對該用戶網(wǎng)站所有文件進行任意修改，這種情況比較普遍。針對這種情 況，用戶需要找技術(shù)人員檢查出網(wǎng)站漏洞并徹底修復，并檢查網(wǎng)站是否還有黑客隱藏的惡 意文件。

原因：很多網(wǎng)站都需要使用到文件上傳功能，例如很多網(wǎng)站需要發(fā)布產(chǎn)品圖片等。 文件上 傳功能本來應該具有嚴格的限定。例如：只允許用戶能上傳 JPG ，GIF 等圖片。但由于程 序開發(fā)人員考慮不嚴謹，或者是直接調(diào)用一些通用的文件上傳組件， 導致沒對文件上傳進 行嚴格的檢查。

處理：處理關(guān)鍵是要用戶自己知道自己網(wǎng)站哪些地方使用到了文件上傳功能。

重點針對這個文件上傳功能進行檢查，同時針對網(wǎng)站所有文件進行檢查，排查可疑信息。 同時也利用網(wǎng)站日志，對文件被修改時間進行檢查：

1、查到哪個文件被加入代碼：用戶要查看自己網(wǎng)頁代碼。根據(jù)被加入代碼的位置， 確定到底是哪個頁面被黑，一般黑客會去修改數(shù)據(jù)庫連接文件或網(wǎng)站頂部/底部的文件，因 為這樣修改后用戶網(wǎng)站所有頁面都會被附加代碼。

2、查到被篡改文件后，使用 FTP 查看文件最后被修改時間，例如 FTP 里面查看到 conn.asp 文件被黑，最后修改時間是 2008-05-16 03：41 分，那么可以確定在 2008 年 5 月 16日 03：41 分這個時間，有黑客使用他留下的黑客后門，篡改了您的 conn.asp 這個文件。 注意：

1、很多用戶網(wǎng)站被黑后，只是將被串改的文件修正過來，或重新上傳，這樣并沒有 多大作用。如果網(wǎng)站不修復漏洞，黑客可以很快再次利用這漏洞，對用戶網(wǎng)站再次入侵。

2、網(wǎng)站漏洞的檢查和修復需要一定的技術(shù)人員才能處理。用戶需要先做好文件的備 份。

第二種情況：用戶本地機器中毒了，修改了用戶自己本地的網(wǎng)頁文件，然后用戶自己將這 些網(wǎng)頁文件上傳到服務器空間上。這種情況比較少，如是這種情況用戶要先徹底檢查自己 網(wǎng)站。

1、 這種病毒一般是搜索本地磁盤的文件， 在網(wǎng)頁文件的源代碼中插入一段帶有病毒的代碼，

而一般最常見的方式是插入一個 iframe ，然后將這個 iframe 的 src 屬性指向到一個帶有病 毒的網(wǎng)址。

2、如何檢測這種情況呢？

a 、瀏覽網(wǎng)站，右鍵查看源代碼，在源代碼里搜索 iframe ，看看有沒有被插入了一些不是自 己網(wǎng)站的頁面，如果有，一般就是惡意代碼。

b 、也是右鍵查看源代碼，搜索“script ”這個關(guān)鍵字，看看有沒有被插入一些不是自己域名

下的的腳本，如果有，并且不是自己放上去的，那很可能也有問題。

3、這種病毒怎么殺呢？

a 、有些人會說用查毒程序查過本地沒有發(fā)現(xiàn)病毒，這就要看看本地的網(wǎng)站文件是否帶有這

些惡意代碼，如果有，那基本上可以肯定你的機器是曾經(jīng)中過毒的，這些病毒可能不是常

駐內(nèi)存的，并且有可能執(zhí)行一次之后就將自己刪除，所以用查毒程序查不出來是很正常的。

b 、就算這些病毒是常駐內(nèi)存，殺毒程序也可能查不出來，因為這種病毒的原理很簡單，其

實就是執(zhí)行一下文件磁盤掃描，找到那些網(wǎng)頁文件（如：.asp .php .html 等格式的文件） ，

然后打開它插入一段代碼，然后再保存一下。因為它修改的不是什么系統(tǒng)文件，病毒防火

墻一般不會發(fā)出警告，如果它不是掛在一些系統(tǒng)進程里，而是在某個特定的時刻運行一下

就退出，這樣被查出的可能性更少。

c 、手工刪除這些病毒的一般方法：

1）調(diào)出任務管理器，看看有沒有一些不知名的程序在運行，如果有，用 Windows 的文件

查找功能找到這個文件，右鍵查看屬性，如果這個可執(zhí)行文件的摘要屬性沒有任何信息，

而自己又不知道是什么東西，那很可能有問題，然后上 google 搜索一個這個文件的信息，

看看網(wǎng)上的資料顯示是不是就是病毒，如果是就先將其改名；

2）打開注冊表編輯器，查看一下

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun 有沒有一

可疑的啟動項，有的話就刪除；

3）查看本地機器的 Windows 控制面板，看看“任務計劃”那里有沒有一些不是自己定義

的

任務，如果有查看屬性，找到這個任務所執(zhí)行的可執(zhí)行文件是哪個，重復前面步驟 1）的

方法進行查殺。可能還有其它一些方法，可以在 GOOGLE 上搜索下。

五、服務器中毒常見原因

1、 一般是因為上了一些垃圾網(wǎng)站，這些網(wǎng)站有木馬，然后機器就中毒了。

2、 另外就是沒有限制 IIS 站點的權(quán)限，由于網(wǎng)站上傳組件的漏洞而被惡意上傳病毒文件、

添加后門的批處理文件。

3、 從服務器上下載各種軟件，沒有在本地對這些軟件的安全性進行驗證就直接在服務器

上進行安裝，從而導致中毒。

4、 在服務器上使用破解軟件或軟件破解補丁，隨意下載網(wǎng)絡上的文件都會造成很大的安

全隱患，導致服務器中毒。

需要注意事項：

不在服務器上隨意訪問網(wǎng)站。

不在服務器上隨意下載軟件。

慎重使用破解軟件。

確保上傳到服務器上的文件是安全的。