网站被经常挂马的几种情况分析及解决办法

按我的网站被挂经验和大家共享一下。很多站长，一觉醒来，网站各个页面全部被挂马，手忙脚乱，经过几次以后，偶发现几种情况。第一，通过服务器WEBSHELL进去对网站挂马的，这种情况只能是重装服务器，进行权限设置，通过这样的服务器在安全策略设置不够好，帐户的确立，补丁更新，IIS下文件夹下不同权限的访问权限，还有第三方软件的安全性设置，如SEV-U，SQLSERVER，这些在网站都可以找到的。这种情况我们基本下可以看到C盘根目录下有可执行的可疑文件，用户组多了未知用户，权限有ADMINISTRATOR权限，这时候，只能是重装，因为你的服务器被挂了。所以从最先开始重装的时候要充分考虑到权限问题。(备注:数据备份一定要有规律和及时性)第二网站程序被注入如SQL注入，如上传代码漏洞等。一般我们这里分二种情况。1，网序自主开发或是网上DOWNLOAD下加自已开发，这样程序，我们在前期开发时要充分考虑到注入与上传设置，特别网站下载下来先杀毒一遍，实在没办法的，用通用的防注入程序，然事开发好后用网站扫描工具扫描，这里面要着重注意到的是SQL数居库权限，上传文件权限，网站防注入措施，上传代码或第三方组件。这几个分面充分考虑下，如果被挂，在第一步没问题的情况下查看IIS日志，查看网站下最新更新文件及新建文件，用杀毒软件杀出可疑问件，如果是静态的可采用字符替换器进行换，完善网站程序。2，程序是网上购买和采用第三方程序像这样的程序一般来说没有多大问题，但是用的人多，漏洞暴光就越多，从几个成熟的产品我都经历过，这样的程序我们要做到，第一，尽量不修改原程序结构和数据结构，第二，经常关注官方更新及发布，第三，及时打补丁升级，如果您修改的多了，升级将是很麻烦的事情，像这类的程序被挂马的会，第一时间去官方查看及咨询，查看这类网站自身的日志，管理权限等方面，很多人图方便密码简单，现在会猜的人很多了。像这类网站及时打补丁，注重官方发布应该没问题。第三，机房其他IP被攻击我经历过几次，有几次，网页被挂马，服务器上怎么也查不出来，后来才发现，是机房其他IP中招发出的恶意攻击，及时咨询机房人员，像这类的挂马代码，通常出现在最上面。第四，局域网中招有时候，公司很多人都在访问网站发现中招，其实是其中有电脑中招，打开很多网站都中招，用ARP防火墙或是MAC地址查看，查到源机器，切断网线。碰到挂马是件很烦的事情，关键是站长要及时间，冷静的分析，最快时间内解决问题。

一、备份重要文件、数据后重装。
1、解释：很明显，你的服务器被人非法登录（入侵）。入侵后黑客可做的事很多，比如植入远程控制、远程上传下载类程序等。 故此，不要去想着如何清理。服务器的安全是非常重要的。
2、重装时，请选用比较新的服务器 *** 作系统，在当前应选择windows 2003或windows 2008。
3、请使用可靠的win版本，千万不要使用所谓的“xxx专版”或“xxx免激活版”。如果你购买了正版，请使用正版，如果没有购买正版，可以考虑使用服务器品牌对应的OEM版或改服务器的BIOS伪装成某品版的机器后安装对应的OEM版（仅win2003有效）。
4、安装服务器时一定不要使用服务器上已存在任何文件，服务器C盘在安装过程中直接删去分区后重分。其它盘在安装过程中不要打开以防止“双击盘符便自动运行类病类”，并自个去网上查一下此类病毒的相关防护和处理办法（可以很方便地手工处理掉）（当然，你的机器上很可能没有，只是小心为好）。驱动请从可靠来源盘安装（比如正版光盘、随机光盘，或对无毒的机器上下载后刻录盘）。
5、安装完系统后不要访问任何不可靠网站，第一时间使用windows updata升级windows，完成所有可升级补丁后，对系统分区进行镜像备份。对于服务器来说，当前最可靠的还是在DOS下使用ghost进行系统备份。
6、加装杀毒软件、正确设定你的服务器的工作状态后，再一次使用ghost进行系统备份。服务器的网站目录、数据目录不应存在于系统分区，且应对它们进行每日备份。
7、在这里个人推荐Mcafee 87i。
二、安装、并设定好防火墙。
1、安装软件防火墙，使你的服务器的外联只开放最必要的端口。 个人推荐Mcafee的防火墙。
2、最好安装硬件防火墙，如果经济条件不足，至少买一个比较好的soho级的路由器(价格只需二百元左右)，并使用端口印射来向外提供服务，这样，服务器就不直接与外界联通，黑客想单方面从外部攻入是非常难的。
三、控制好服务器硬盘的读写权，及网站读写权。
1、如果是win系的服务器，请一定使用NTFS，系统分区使用默认读写权（不要去修改），其它分区加上Users组的可读写权，并向下继承。
2、网站文件、数据文件不要放在“我的文档”中。
3、关闭所有网站的可持行权！除非你非常确信你在干嘛。
四、特别提示：服务器的管理员口令请全部更换，不要用原来的！
五、对于你的网页挂马，最简单的做法是将重要数据留下，所有的网页文件全更换为干净的。
六、对于网页挂马，当前最常用的方式是：服务器系统漏洞（从你的说法来看这是最可能的）、SQL注入（请升级你的数据库服务器到最新）。

拨号VPS主机作为互联网基础常用的的设备之一，现在的拨号VPS主机的虚拟化技术慢慢的成熟。对于固定IP的VPS主机来说，其主要的作用就是网站的空间，当网站的运行时间运行的比较长了的话，网站的文件就会比较多，利用手工的方式来查看的话是比较麻烦的。杀毒软件仅仅对恶意代码进行查杀，对网页木马以及挂马程序不一定全部查杀，在使用过程中很容易遭到入侵，而VPS主机是存放网站数据的重要设备。数据丢失会给我们带来重大的损失。所以当VPS主机被侵入后如何处理：

方法一、检查控制面板->添加/删除程序里面是不是被人装了其他软件。

方法二、如果安装了一些主机管理系统，则检查是否有新版本升级。

方法三、检查有没有多出来的管理员账号，删除或禁止它，同时删除C:DocumentsandSettings目录下对应的黑客管理员目录(可能要重启后才能删除干净)。

方法四、如果再次被入侵，建议重装系统。重装系统后，需要安装第三方软件，比如PHP、MySQL、主机管理软件的，务必确保使用的是最新版本，不要直接使用服务器上的老软件。系统全部配置完毕后，请再用杀毒软件扫描一次。

如果你需要对VPS主机的安全性进行提升，也可以与你的服务商进行沟通，RAKsmart专业团队给为你定制一个合理的方案。

---