网页篡改简介• 网页篡改，即攻击者故意篡改网络上传送的文件，通常以入侵系统并篡改数据、劫持网络连接或插入数据等形式进行• 网页篡改一般有两种：显式和隐式。显式网页篡改指攻击者为炫耀自己的技术技巧，或表名自己的观点实施的网页篡改；隐式网页篡改一般是在网页中植入色情、诈骗等非法链接，再通过灰色、黑色产业牟取非法经济利益• 攻击者为了篡改网页，一般需要提前找到并利用网站漏洞，在网页中植入后门，并最终获取网站控制权网页篡改——模拟攻击• 正常的公司首页• 经过扫描发现目录下存在文件上传：upload.php，并且可以上传木马程序【——全网最全的网络安全学习资料包分享给爱学习的你，关注我，私信回复“领取”获取——】1.网络安全多个方向学习路线2.全网最全的CTF入门学习资料3.一线大佬实战经验分享笔记4.网安大厂面试题合集5.红蓝对抗实战技术秘籍6.网络安全基础入门、Linux、web安全、渗透测试方面视频1、发现公司网站存在文件上传的页面，尝试上传 webshell 可以成功2、使用蚁剑连接 webshell 成功3、在蚁剑中，修改公司首页的代码，在index.html中插入js代码，在页面中插入暗链<script type="text/javascript">var search=document.referrer;if(search.indexOf("baidu")>0||search.indexOf("bing")>0||search.indexOf("soso")>0||search.indexOf("google")> 0||search.indexOf("sogou")>0)self.location="http://www.4399.com/";</script>• 在页面中插入暗链后，只要 referer 中存在 baidu、google、sogou等的都会转到www.4399.com 页面• 也就是在以上这些搜索引擎中搜索到该站点，点击后，就自动会跳转到另一个站点应急响应——事件处置1、服务器可疑进程分析• 使用 PCHunter、Procexp64 等工具对进程、服务、启动项、任务计划进行分析，未发现可疑进程2、网站后门木马查杀• 通过对网站目录进行后门木马查杀，发现网站目录下存在一句话木马文件，名为default.php，上传时间为xxx （工具 D盾、河马等）3、可疑用户分析• 经过查看后，发现服务器存在隐藏用户 test$• 通过计算机管理或者注册表中查看隐藏用户4、日志分析• 查看 Apache 相关日志，查看是否有异常访问的日志5、结论• 公司首页被植入暗链• 攻击者疑似通过文件上传漏洞，上传木马程序，然后在首页源码中插入暗链，使得用户从各大搜索引擎进入首页的时候，跳转到另一个站点应急响应——根除与恢复1、删除暗链代码，如果网站源码有备份的话，直接从备份中还原2、删除可疑目录下的webshell，删除 default.php文件，全盘查杀病毒以及 webshell3、删除隐藏用户、修改主机用户密码、数据库密码、网站后台密码等4、进行渗透测试，查找系统漏洞，修补漏洞
本文出自快速备案，转载时请注明出处及相应链接。
