phpcms做的网站总是被植入木马后门快照劫持

PHP CMS V9网站被黑事件分析与解决方案

原创

于 2022-05-20 10:56:04 发布 · 560 阅读

1 ·

CC 4.0 BY-SA版权

文章标签：

#phpcms漏洞 #phpcms被挂马入侵 #网站被植入木马后门

本文详述了一起PHP CMS V9网站遭受高级黑客攻击的案例。黑客通过篡改后台配置文件及利用系统漏洞执行恶意代码，导致网站内容被篡改。SINE安全团队进行了代码审计和日志溯源，发现黑客利用弱密码入侵并植入木马。解决方案包括加固后台登录、审计数据库、修复漏洞和过滤非法函数执行，确保网站安全。

我相信很多用过phpcms v9版本的开源代码做过网站的站长或企业最烦恼的就是网站经常被反复篡改入侵，导致快照收录被劫持，收录一些与网站不相关的内容，黑客的攻击手法也越来越高级，我们SINE安全在接到一个流量权重5的企业平台网站求助，说网站总是反复被入侵攻击篡改页面，经常在一些caches目录下的配置文件进行篡改，导致快照内容收录一些灰色行业的标题，网站快照的TDK频繁被修改。

了解了客户反应网站被黑的问题后，我们SINE安全立即成立了安全应急响应小组，让客户提供了服务器的远程信息，客户网站用的是单独服务器linux系统，对phpcms的网站进行了打包备份，然后下载到我们本地电脑上，由代码审计技术进行人工代码检查，对每一个调用到的代码都要仔细查找，对网站访问的日志也进行了打包，把日志交给溯源部门的陈技术进行日志溯源分析，发现黑客是通过入侵后留在网站里的一句话木马后门进行POST操作，而且编码是加密的，具体的图如下：

对good=后的值进行了解密，发现内容为var_dump(copy("/api/2.txt","caches/caches_template/default/match/nork.php"));这句话的意思是拷贝api目录下的2.txt内容复制到caches/caches_template/default/match/目录下的nork.php，发现黑客还利用系统漏洞进行提权执行反向shell命令，说明这个黑客的技术非常高，对漏洞的利用出神入化，我们先来找下这个2.txt看下里面的内容: