phpStudy于近日被暴露出有后门漏洞，之前的phpStudy2016，phpStudy2018部分版本，EXE程序包疑似被入侵者植入木马后门，导致许多网站及服务器被攻击，被篡改，目前我们SINE安全公司立即成立phpStudy安全应急响应小组，针对部分客户服务器上安装该PHP一键环境搭建的情况，进行了全面的漏洞修复与安全防护。第一时间保障客户的网站安全，以及服务器的安全稳定运行。关于该漏洞的详情，我们来安全分析一下，以及复现，漏洞修复，三个方面来入手。
在服务器木马后门检测中rookit也是根据特征的，他们检查的都是某一些rk的看这个root或者一些其他的通用型root的，但我现在所使用的项目，它这个UK的可能比较小众，所以没有被检测出来。那这个是 check rookit。我们来看一下第二个工具，叫rookit hunter，这也是一个系统可以直接安装的工具。那安装完毕之后，执行这条命令就可以了，执行的过程我就不给大家讲了，你只要一路回车就可以了。重点是什么？重点是要会看结果。也就是说我们查询出如kite之后，那我怎么知道它是一个rookit？看这里边爆出来了，lookit。也就是说他做了一些这个隐藏，加入到内核里之后，看这都是挖点，说明已经被更改了，那这个时候就要去排查了，他是不是真的被更改了，或者说看一下是不是真的被替换了，那就需要去排查一下了。
Paper本身有一定的技术门槛，缺乏网络安全知识的小伙伴儿看起来可能有些吃力。今天轩辕尝试用简单易懂的方式带大家来感受一下，来自这个星球上顶级的安全机构开发的后门，到底是什么样的。
临近2019年底，网站安全事件频发，攻击者加大了对网站的攻击力度，一定是在为过年钱做准备，大捞一把过个好年。就在最近，某客户网站被入侵并被篡改了首页代码，网站从搜索引擎打开直接跳转到了彩//piao网站上去了，通过朋友介绍找到我们SINESAFE做网站安全服务，防止网站被攻击，恢复网站的正常访问，关于此次安全事件的应急处理，以及如何做网站的安全加固，我们通过文章的形式记录一下。
昨晚凌晨收到新客户的安全求助，说是阿里云短信提示，网站有webshell木马文件被植入，我们SINE安全公司立即成立，安全应急响应小组，客户提供了阿里云的账号密码，随即登陆阿里云进去查看到详情，登陆云盾看到有这样的一个安全提示“网站后门-发现后门(Webshell)文件”事件等级：紧急，影响资产：阿里云ECS：ID，然后贴出了网站木马文件的路径地址：/www/wangzhan/safe/indnx.php。
早上刚上班就有新客户咨询我们Sinesafe安全公司反映说收到一条阿里云的短信过来，内容为：网站木马文件提醒018-06-20 09:20:49尊敬的***网：您的虚拟主机中有文件触发了安全防护报警规则，可能存在webshell网页木马，您可以登录虚拟主机控制台-对应主机的"管理"文件管理-网站木马查杀功能确认是否为恶意文件，相关帮助文档请参考网站木马查杀帮助。具体存在挂马的主机列表如下：IP地址域名
今天早晨发现我们公司网站只要在微信和qq中打开，分别被微信提示：已停止访问该网页，该网站链接以及在qq上被提示危险网站，千万别访问,首先先看下微信中打开网址被微信拦截并提示的图:
0x00 前言 在测试过程中，往往会用到各种大马，一句话，菜刀等渗透工具，但是有想过这些工具是否存在后门吗?网上有不少破解程序使用，当你试图攻击别人时你已经变成了肉鸡。程序可能已被开发者植入了后门以便
某一客户单位的网站首页被篡改，并收到网监的通知说是网站有漏洞，接到上级部门的信息安全整改通报，贵单位网站被植入木马文件，导致网站首页篡改跳转到caipiao网站，根据中华人民共和国计算机信息系统安全保护条例以及信息安全等级保护管理办法的规定，请贵单位尽快对网站漏洞进行修复，核实网站发生的实际安全问题，对发生的问题进行全面的整改与处理，避免网站事态扩大。我们SINE安全公司第一时间应急响应处理，对客户的网站进行安全检测，消除网站安全隐患。
某上海客户的家具网站最近被新网拦截了，直接输入网站域名访问提示：当前链接地址或网站因含有违规内容，暂时无法访问。目前客户做了百度竞价推广，一天消费在500左右，由于网站打不开，损失惨重，通过朋友介绍找到我们，根据客户目前的情况我们随即成立网站安全应急响应组，针对网站被新网拦截的问题，进行紧急处理，下面记录分享一下我们的处理过程和解决办法。首先我们来看下网站被新网拦截的截图:
目前苹果CMS官方在不断的升级补丁，官方最新的漏洞补丁对于目前爆发的新漏洞没有任何效果。更新补丁的用户网站还是会遭受到挂马的攻击，很多客户因此找到我们SINE安全寻求网站安全技术上的支持，针对该漏洞我们有着独特的安全解决方案以及防止挂马攻击的防护，包括一些未公开的maccms POC漏洞都有修复补丁。
近日某客户网站被黑，导致网站首页被篡改并跳转到赌博网站，网站在百度的收录也收录了一些什么彩票内容的快照，网站首页快照也被修改成赌博内容，并被百度直接红色风险拦截提示，百度网址安全中心提醒您：该站点可能受到黑客攻击，部分页面已被非法篡改！我们SINE安全公司根据以上客户被黑的情况，立即进行了全面的网站安全检测，针对网站被黑的情况制定了详细的安全部署方案。
rkhunter是Linux系统平台下的一款开源入侵检测工具，具有非常全面的扫描范围，除了能够检测各种已知的rootkit特征码以外，还支持端口扫描、常用程序文件的变动情况检查。
正月里来是新年，刚开始上班我们SINE安全团队，首次挖掘发现了一种新的挖矿木马，感染性极强，穿透内网，自动尝试攻击服务器以及其他网站，通过我们一系列的追踪，发现了攻击者的特征，首先使用thinkphp远程代码执行漏洞，以及ecshop getshell漏洞，phpcms缓存写入漏洞来进行攻击网站，通过网站权限来提权拿到服务器管理员权限，利用其中一台服务器作为中转，来给其他服务器下达命令，执行攻击脚本，注入挖矿木马，对一些服务器的远程管理员账号密码，mysql数据库的账号密码进行暴力猜解。
近日，微软称某勒索组织正在对合法的开源软件进行木马化，并将其用于技术、国防和媒体娱乐等许多行业的后门组织。目前黑客武器化用户部署恶意软件或木马后门的开源软件列表包括 PuTTY、KiTTY、TightVNC、Sumatra PDF Reader 和 muPDF/Subliminal Recording 软件安装程序。
临近春节，某聚合支付平台被攻击篡改，导致客户提现银行卡信息被修改，支付订单被恶意回调，回调API接口的数据也被篡改，用户管理后台被任意登入，商户以及码商的订单被自动确认导致金额损失超过几十万，平台被攻击的彻底没办法了，通过朋友介绍，找到我们SINE安全公司寻求网站安全防护支持，针对客户支付通道并聚合支付网站目前发生被网站攻击，被篡改的问题，我们立即成立了网站安全应急响应小组，分析问题，找到漏洞根源，防止攻击篡改，将客户的损失降到最低。
大清早的一上班收到3个网站客户的QQ联系，说是自己公司的网站被跳转到了北京sai车，cai票，du博网站上去了，我们SINE安全公司对3个网站进行了详细的安全检测，发现这3个客户的网站都是同样的症状，网站首页文件index.php,index.html都被篡改添加了恶意的代码。网站在百度的快照也被更改成了这些cai票，bo彩的内容了，并被百度网址安全中心提醒您：该站点可能受到黑客攻击，部分页面已被非法篡改！如下图所示：
前几天，有一客户向我们SINE安全公司反映，网站在google上的推广已拒登，说什么网站存在恶意软件或垃圾软件，导致google广告无法上线，还发现网站从google搜索点击进去会直接跳转到其他网站上，直接输入网址不会跳转。客户自己尝试解决了很多天，解决不了，眼看着给公司带来了很大的损失，我们立即安排技术，对客户的网站安全进行全面的检测。
当然应对Linux入侵时我们也可以使用一些自动化的安全工具协助排查溯源 并进行安全加固
网站IP日均过千到短时间变成日均只有半百，到底是流量被劫持?还是自然现象?咱们网站到底哪里出了问题，首先我在百度的site下，发现百度快照收录的网站标题和实际标题不一样，网站在百度的快照内容里出现一些
答案：“木马”全称是“特洛伊木马(Trojan Horse)”，原指古希腊士兵藏在木马内进入敌方城市从而占领敌方城市的故事。在Internet上，“特洛伊木马”指一些程序设计人员在其可从网络上下载(Download)的应用程序或游戏中，包含了可以控制用户的计算机系统的程序，可能造成用户的系统被破坏甚至瘫痪。
今天早晨一上班，习惯性的打开我们公司的网站，发现公司网站竟然跳转到了赌博、彩票网站上去了，我还奇了怪了，于是去百度搜索我们公司网站，发现网站在百度搜索出现：“百度网址安全中心提醒您：该站点可能受到黑客攻击，部分页面已被非法篡改！”的红色风险提示，瞬间公司在百度里无法打开，本身网站还做着百度推广，直接跳转到博彩网站上去了，给公司带来了很大的损失，于是一大早的开始着手处理，如何取消百度网址安全中心的警告拦截。连续奋斗熬夜了整整36小时，不停的跟百度官方联系，百度安全部门沟通，终于把“百度网址安全中心提醒您：该站点可能受到黑客攻击，部分页面已被非法篡改！”的红色提示给去掉了，这一路的解决过程，艰辛而不容易啊。下面把我解决的办法以及百度网址安全中心怎么取消的过程，写下来，希望能帮到更多跟我一样情况的网站负责人，以及站长。
2022年6月10号距离世界杯的开幕还差5个多月，许多网站以及IIS被劫持收录大量TFWC 2022年卡塔尔世界杯、体育等菠菜违规内容快照，大家也可以自行检查下自己的网站在百度权重，是否上升的很快，再一个查看关键词排名情况，如果发现都是一些体育，菠菜，QP等等的长尾关键词，那基本上就是网站被黑客入侵并篡改了代码，我们SINE安全公司近期处理了许多中小企业网站的客户，他们也都是收录的世界杯菠菜相关内容的百度快照，网站很多页面的标题、描述都被篡改，访问网站正常也察觉不出网站被攻击或者被劫持，像快照被劫持这种比较隐蔽的攻击，许多站长不容易发现，得需要专业的安全技术才能检查的出来。
近期受世界杯的影响,我们Sinesafe接过很多中小企业网站频繁的被黑客入侵篡改了快照内容的网站安全问题导致打开网站被提示博彩页面,在搜索引擎中会被提示百度网址安全中心提醒您：该页面可能已被非法篡改！ 主要客户网站问题基本都是反复性质的篡改,手动清理删除掉代码只能解决当前问题,没过几天就又被篡改了内容,而且经常是篡改首页顶部的代码.
当公司的网站服务器被黑，被入侵导致整个网站，以及业务系统瘫痪，给企业带来的损失无法估量，但是当发生服务器被攻击的情况，作为服务器的维护人员应当在第一时间做好安全响应，对服务器以及网站应以最快的时间恢复正常运行，让损失减少到最低，针对于黑客攻击的痕迹应该如何去查找溯源，还原服务器被攻击的现场，SINE安全公司制定了详细的服务器被黑自查方案。
很多客户网站服务器被入侵，被攻击，找到我们SINE安全公司寻求技术支持与帮助，有些网站被篡改，被跳转，首页内容被替换，服务器植入木马后门，服务器卡顿，服务器异常网络连接，有的客户使用的是阿里云服务器，经常被提醒服务器有挖矿程序，以及网站被上传webshell的安全提醒，包括腾讯云提示服务器有木马文件，客户网站被攻击的第一时间，是需要立即处理的，降损失降到最低，让网站恢复正常的访问，由于每个客户找到我们SINE安全都是比较着急的，安全的处理时间也需要尽快的处理，根据我们的处理经验，我们总结了一些服务器被攻击，被黑的排查办法，专门用来检查服务器第一时间的安全问题，看发生在哪里，服务器是否被黑，是否被攻击，那些被篡改等等。
为了提高企业研发与办公效率，降低时间与人力成本，任何一家企业的服务器和办公电脑都离不开第三方的开源或商业软件。通常大多数企业会假设上游供应商安全有保障，或者说大多数情况下无法确认供应商的安全性，即便知道供应商没那么可靠，对其安全也强制不了，但为了满足自身需求也会妥协采用。因此软件供应链攻击的伤害效果注定显著，黑客攻击上游后，控制下游也就水到渠成。这类攻击具有隐蔽性强、影响范围广、投入产出比高等特点，一直是恶意攻击者热衷的渗透打点手段，也是企业、个人及安全保障团队难以完全杜绝的攻击场景。
网站被黑，打开网站竟然跳转到博cai网站上去了，一开始以为自己看错了，多次从百度点击自己网站进去，还是会跳转到彩piao网站上，第一反应是自己的网站被黑了，经营网站很多年了，从来未遇到过这种情况。
春节刚过完，上班的第一天，公司网站被百度停止推广了，百度推广提示：您的url被百度杀毒提示存在网址安全风险，故物料不宜推广；若有异议，请进入百度杀毒申诉通道申诉。第一时间联系了当地百度公司客服，客服帮我们查看了下百度那面反馈的邮件后，说是由于我们网站内容被篡改，导致存在网址安全风险,因此百度推广不让上线，对于我们公司网站产品的推广带来了很大的影响，老板立即把我叫到了办公室。
阿里云ECS服务器是目前很多网站客户在使用的，可以使用不同系统在服务器中，windows2008 windows2012,linux系统都可以在阿里云服务器中使用，前段时间我们SINE安全收到客户的安全求助，说是收到阿里云的短信提醒，提醒服务器存在挖矿进程，请立即处理的安全告警。客户网站都无法正常的打开，卡的连服务器SSH远程连接都进不去，给客户造成了很大的影响。
virus.win32.parite.H病毒的查杀方法
哥们的网站流量突然下降的很厉害,从原先一天500左右的IP,直接下降到80左右的IP，让我帮忙看看，网站到底哪里出了问题,首先我用百度的site:下网站的收录量以及快照更新的时间,发现百度快照收录的网站标题和实际标题不一样,网站在百度的快照内容里出现一些菠菜，彩票的内容,从百度点进去后直接跳转到菠菜网站上去了，立即查看了下网站目录文件内容发现被上传了一些可疑的文件内容内容为图2：
前不久确定了一个想法，想和应急响应小组的小伙伴们一起研究一些比较贴心（工作中常用到）的应急响应工具，网络上类似的清单很多，但通常这些清单只会告诉你，这是一个什么工具，可以用来做什么，一些小技巧与实战场景并不会提及。如无意外，小组后续应该会分享一个系列（日志分析、进程分析、恶软分析、内存镜像、证据收集、安全加固等）的实用响应工具文章。应急响应是安全里面的一个小的分支，亦是不可或缺的一环，所涉及的知识也比较庞杂有趣（真的不骗你）。
linux系统一直以来都是比较安全的，不管是系统内核还是一些第三方软件都没有太大的漏洞，包括前几年爆出的redis漏洞，没有太多漏洞，然后最近linux频频爆出高危的漏洞，使用vim文本编辑器很多年了，得知被爆出远程代码执行漏洞，有点不可思议，全国大多数的linux服务器都使用的是vim，包括centos系统，redhat,关于该漏洞的详情以及修复方案，我们SINE安全来详细的跟大家介绍一下:
国庆假日期间我们Sine安全接到众多网站站长求助网站标题被改导致在百度搜索中百度安全中心提醒被拦截,导致网站正常用户无法浏览网站被跳转到一些菠菜du博网站，而且很明显的一个特征就是在百度中搜索关键词的网站快照标题被修改成了一些与网站本身内容不相关的页面,而且发现网站首页文件如index.php或index.html被增加了一些可疑的加密代码。
目前国内做网站安全防护的公司比较少，因为需要实战的攻防经验以及安全从业经历，针对网站被黑客攻击以及被黑客篡改了数据库以及其他信息，或被植入了木马后门和跳转代码（从百度输入点击直接被跳转到其他网站），还有一些像服务器被DDOS攻击导致无法打开，都需要网站安全公司来解决。国内像Sinesafe,鹰盾安全，启明星辰，大树安全盾都是目前国内做的有实力的安全公司。
近日接到客户求助，他们收到托管电信机房的信息，通知检测到他们的一台服务器有对外发送攻击流量的行为。希望我们能协助排查问题。
如今木马后门已完全可以运行在电脑的显卡中，这种独特的运行方式增强了它们的隐匿性，同时还大大提高了恶意行为的执行性能。 基于GPU的恶意软件 最近，开发人员发布了两款概念验证性的恶意软件——Jellyfish rootkit和Demon键盘记录器，这两款恶意软件的运行并不是利用电脑的CPU，而是利用图像处理器GPU。这种恶意软件能够利用GPU实现比特币挖矿机，性能更高。 两名匿名开发者对该Rootkit（木马后门）的描述： 请输入内容“Jellyfish是一个基于Linux的用户态GPU rootkit概
目前越来越多的服务器被入侵，以及攻击事件频频的发生，像数据被窃取，数据库被篡改，用户数据被脱裤，网站被强制跳转到恶意网站上，网站在百度的快照被劫持，等等的攻击症状层出不穷，当我们的服务器被攻击，被黑的时候我们第一时间该怎么去处理解决呢？
*原创作者：补丁君，本文属FreeBuf原创奖励计划，未经许可禁止转载 笔者使用环境 本机 Debian Linux 服务器 VPS（Debian Linux） 目标 Windows 2003（虚拟机
客户的网站于近日收到了来自腾讯云的安全告警，木马文件事件通知！第一时间客户联系到我们SINE安全，把腾讯云提示的问题反馈给了我们安全技术部门，说是网站突然收到了腾讯云的邮件提醒，说什么网站有木马，服务器也存后门文件。客户以前从没有对网站，以及服务器进行安全部署与加固，导致今天发生这样的严重黑客入侵事件。
Arbitrium是一款跨平台并且完全无法被检测到的远程访问木马，可以帮助广大研究人员控制Android、Windows和Linux操作系统，而且完全不需要配置任何额外的防火墙规则或端口转发规则。该工具可以提供本地网络的访问权，我们可以将目标设备当作一个HTTP代理来使用，并访问目标网络中的路由器、发现本地IP或扫描目标端口等等。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
腾讯会议
实时音视频
