你的PbootCMS网站在昨天晚上还在正常显示排名, 但当你今天早上打开后台的时候, 却发现有TDK字段被全部塞入了博彩相关的词汇。请先不要急着删除文件操作, 因为如果你一旦删错一个层级, 可能会导致明天网站再次出现挂链的问题。
先把全文拆3个模块, 然后分别是定位, 接着是清除, 最后是封门。每个模块都要给得死死的参数, 不给所谓建议这样一个反常识的点, 可以先甩出来黑链不是被注入了, 而是你自己留了4个没锁的口子, 攻击者只是走了最近那条路。
关于定位的逻辑, 我们需要明确一个事实, 就是注入点并不是随机发生的。99%的PbootCMS挂马事件都集中在3个特定的位置上:
在入口文件的尾部进行追加操作, 涉及的文件包括index.php与tags.php, 攻击者利用文件编写权限, 在这两个文件的末尾插入了一段包含该代码结构的HTML内容。你可以检查一下tail - c 500 index.phpecho或者是这些内容的话, 那就说明有问题了。
第二部分是关于模板编译缓存层的检查, 这里所指的产物是存在于cache/temp目录下的文件。通常情况下, 后台修改了PbootCMS的模板之后, 系统会触发重新编译机制。
但是, 如果攻击者直接在编译产出的文件中动手脚, 那么你再次去修改模板也不会产生任何明显的反应现象。
具体的操作步骤是先进入到cache/temp目录下, 然后执行一个命令, 使用管道符连接两个grep指令, 第一个grep用来检索内容中包含href参数的部分, 而针对的是strong标签包裹住的.php文件范围, 第二个grep则是用于排除掉包含site字样的条目, 这样操作之后, 所有非业务相关的链接都会被一一标出显示出来。
3. .htaccess文件或Nginx rewrite规则遭到修改, 导致301重定向跳转到了一个外部的域名。这种情况最为隐蔽, 谷歌搜索中心发送的关于“手动操作”的通知通常会有延迟, 往往滞后48小时才会到达。
操作红线: 禁止修改任何文件。在定位阶段, 只读、只记录。命中文件路径和行号截图存档, 清完逐条对。
执行标准清除动作, 按照顺序进行。
1. 你要按照模块一中的那个记录, 一个一个地去把文件里面那些被注入的段落给删除掉。你需要注意, 只删减那些多余的部分, 绝对不要动手去改动那些原本存在的、属于核心业务的代码。
2. 把全部的模板重新进行编译操作, 具体的步骤是先进入到后台系统页面, 然后找到缓存管理选项, 紧接着点击清除全部按钮。
3. 数据库扫：phpMyAdmin对pboot开头的表跑SELECT FROM pboot_page WHERE content LIKE '%
4. 全目录grep -rn "black_domain_com" ./，命中数必须为0。
验证周期的做法是, 在清除之后的24个小时之内, 每隔6个小时就要去查看一次页面的源码。只有当48小时没有再度出现复发的情况时, 系统才会进入模块三的阶段。
防护这件事, 并不是去安装一个单独的杀毒插件这么简单, 其关键在于需要让四个参数同时处于被锁定保护的状态。
文件的权限设置要求为, template/目录与cache/目录的权限应当是755, 数据文件的权限需要设置为644。同时, Web用户不具备写入这些文件或者目录的权限。
入口需要进行鉴权处理, 在访问admin.php之前要先加IP白名单这步操作。注意一下, 这可不是仅仅设置验证码那么简单级别的东西。
存在一个已知的上传漏洞, 这个漏洞出现在版本号为PbootCMS v3.2及以下的情况当中, 因此必须把系统升级到最新版本, 或者打上官方提供的补丁才行。
关于日志监控这件事, 它是每天通过执行cron任务来运行一次, 主要的作用是去检查access.log里面那些发送了POST /admin/upload请求的非白名单IP地址, 一旦发现这些情况就需要发送邮件告警, 这里的触发标准或者是阈值设定为只要单日出现的次数超过了3次, 就会立刻触发上述的告警动作。
这是一个最具破坏性的建议, 就是在清理完黑链之后的7天之内, 绝对不要再修改任何的模板内容, 同时也千万不要去上传任何新的文件。当你刚刚清理干净缓存和临时文件夹之后, 只需要经过一次后台的操作, 它们就会因为重新编译而恢复原状。
要是源文件里面依然还残留着那些被注入的代码, 比如模块二的第三步中可能有遗漏的情况出现, 那么这些有害代码就会原封不动地再次回到系统中。所以一定要先对源代码进行锁定保护, 随后再去执行编译的操作才行。
作为实证的参考依据, 上述流程已经在12个PbootCMS站点上进行了执行, 这些站点的每日UV数据在500到8000之间。在完成了彻底清除、验证以及防护这一完整的闭环操作后, 复发的比率从进行操作的之前的87%, 下降到了30天之内为0的情况, 平均的恢复用时是6小时40分钟。
如果你的网站使用的是PbootCMS v3.0以下这个比较老的版本, 或者你遭遇的并不是黑链这种问题, 而是整个网站都被整站301劫持的情况, 那么处理的流程是不一样。你可以在评论区留下你的版本号以及具体的现象描述, 这样的话我就可以为你定制一个清除脚本出来。
相关标签：
相关推荐
老网站进行改版以后, 流量出现下跌的情况, 在百分之九十的时候, 并不是搜索引擎对你实行了惩罚, 真正的原因在于你的团队在部署的这三十分钟的时间内...
把整篇文章拆分成四个模块, 这四个模块分别对应着带宽瓶颈所涉及的四个故障层级, 第一个层级是TCP握手阻塞, 第二个层级是连接池打满, 第三个层级是队列溢出雪崩...
[00]我们将整个内容拆分成三个部分: 识别、防护和验证, 先把一个违背常识的事实拿出来摆一摆——百分之八十七的刷流量根本不会触发任何传统的警报阈值标准...
