網(wǎng)站被攻擊 該如何查找攻擊及網(wǎng)站漏洞

很多企業(yè)網(wǎng)站被攻擊，網(wǎng)站網(wǎng)站導致網(wǎng)站打開(kāi)跳轉到(′?_?`)別(bie)的被攻網(wǎng)站，尤其一些彩票??等???非法網(wǎng)站上去，擊該擊及甚至(′?｀*)有些網(wǎng)站被攻擊的何查打不開(kāi)，客戶(hù)無(wú)法訪(fǎng)問(wèn)首頁(yè)，找攻給客戶(hù)造成了很大的漏洞經(jīng)濟損失，很多客戶(hù)找到我們SINE安全公司尋求防止網(wǎng)站被攻擊的網(wǎng)站網(wǎng)站解決方案，針對這(zhe)一情況，被攻我們安全部門(mén)的擊該擊及技術(shù)，給大家普及一下網(wǎng)站被攻擊后該如何查找攻擊源以及對檢測網(wǎng)站存在的何查漏??洞，防止網(wǎng)(′ω｀)站再次被攻擊。找攻

網(wǎng)站被黑被攻擊???后，漏洞我們首先要檢查的網(wǎng)站網(wǎng)站就是對網(wǎng)站的訪(fǎng)問(wèn)日志進(jìn)行打包壓縮，完??整的被攻保存??下來(lái)，根據客戶(hù)反映的擊該擊及問(wèn)題??時(shí)間，被攻擊的特征等等方面進(jìn)行記錄，然后一一的對網(wǎng)站日志進(jìn)行分析，網(wǎng)站的訪(fǎng)問(wèn)日志記錄了所有用戶(hù)對網(wǎng)站的訪(fǎng)問(wèn)記錄，以及訪(fǎng)問(wèn)了那些頁(yè)面，網(wǎng)站出現的錯誤提示(shi)，都可以有利于我們查找攻擊源，網(wǎng)站存在的那些(xie)漏洞也都可以查找出來(lái)，并對網(wǎng)站的漏洞進(jìn)行修復。

我們就拿前段時(shí)間某一個(gè)企業(yè)客戶(hù)的網(wǎng)站，進(jìn)行舉例：先看下這個(gè)日志記錄:

2019-06-03 00:01:18 W3SVC6837 202.85.214.117 GET /Revヽ(′▽?zhuān)?ノiew.aspx class='1'&byid=23571

80 - 101.89.239.230 Mozilla/5.0+(Windows+NT+6.1;+WOW64;+Trident/7.0;+SL??CC2;+.NE??

T+CLR+2.0.50727;+.NET+CLR+3.5.30729;+.N??ET+CLR+3.0.30729;+Media+Center+PC+6

.0;+.NET4.0C;+.NET4.0E;+InfoPath.3;+rv:11.0)+like+Gecko 200 0 0

通過(guò)上面的這一條網(wǎng)站訪(fǎng)問(wèn)日志，我們可以看出，用戶(hù)的訪(fǎng)問(wèn)IP，以及訪(fǎng)問(wèn)網(wǎng)站的時(shí)間，使用的是windows系統??，還有使用的瀏覽器版本，訪(fǎng)問(wèn)網(wǎng)站的狀態(tài)都會(huì )寫(xiě)的很清楚。那么網(wǎng)站被攻擊后，該如何查看日志，來(lái)追查攻擊痕跡呢？

首先我們要與客戶(hù)溝通確定網(wǎng)站被攻擊的時(shí)間具體在哪一個(gè)時(shí)間段??里，通過(guò)時(shí)間??縮小日志范圍，對網(wǎng)站日志逐一的進(jìn)行檢查，還可以通過(guò)檢測網(wǎng)站存在的木馬文件(jian)名，進(jìn)行日志查找，找到文件(jian)名，然后追查攻擊者的IP，通過(guò)以上的線(xiàn)索對網(wǎng)站的攻擊源與網(wǎng)站漏洞進(jìn)行追查。日志的打開(kāi)工具使用notepad,有些網(wǎng)站使用的是linux服務(wù)器可以使用一些linux命令進(jìn)行日志的查看，具體命令如下

圖：

某一客戶(hù)網(wǎng)站被上傳了webshell??木馬文件，攻擊者通過(guò)訪(fǎng)問(wèn)(wen)該腳本文件???進(jìn)行篡改網(wǎng)站，首??頁(yè)的標題描述都被篡改成了彩票的內容，從百度點(diǎn)擊網(wǎng)站進(jìn)去跳轉到其他網(wǎng)站上，客戶(hù)本身做了百度推廣，損失慘重，找到我們SINE安全，我們根據客戶(hù)的攻擊特征對網(wǎng)站的訪(fǎng)問(wèn)日志進(jìn)行提取，并追查網(wǎng)??站的攻擊源與網(wǎng)站存在的漏洞。我們通過(guò)時(shí)間，檢查了當天的所有用戶(hù)IP的訪(fǎng)問(wèn)記錄，首先我們人工檢查到了網(wǎng)站的根目錄下的webshell文件，通過(guò)該demo.php我們查找日志，看到有一個(gè)IP在不停的訪(fǎng)問(wèn)該文件，我們對該IP的所有訪(fǎng)問(wèn)記錄進(jìn)行提取，分析，發(fā)現該攻擊者訪(fǎng)問(wèn)了網(wǎng)站(′?｀*)的上傳頁(yè)面??，通過(guò)上傳功能上傳了網(wǎng)站木馬后門(mén)。

通過(guò)上述??日志追查到的IP，以及網(wǎng)站的訪(fǎng)問(wèn)記錄，我(╯‵□′)╯們找到了網(wǎng)站存在的漏(?????)洞(′_ゝ`)，網(wǎng)站的上傳功能并沒(méi)有對上傳的文件格式進(jìn)行安全判斷與過(guò)濾，導致可以上傳aspx,以及php等執行腳本，網(wǎng)站的上傳目錄也沒(méi)有對其進(jìn)行進(jìn)行安全設置，取消腳本的執行權限，針對以上情況我們SINE安全對客戶(hù)的網(wǎng)站漏洞進(jìn)??行了修復，限??制了只運行圖片等格式的文件上傳，對網(wǎng)站的上傳目錄進(jìn)行安全部署??，還有(′_｀)一系(xi)列的網(wǎng)站安全加固，網(wǎng)站被攻擊后，首先不要慌，應該第一時(shí)間對網(wǎng)站的日志進(jìn)行(xing)分析，查找攻擊源與網(wǎng)站存在的漏洞，如果您對網(wǎng)站不是太懂的話(huà)也可以找專(zhuān)業(yè)的網(wǎng)站安全公司來(lái)處理??，專(zhuān)業(yè)的事情交給專(zhuān)業(yè)的來(lái)做，不管是網(wǎng)站的日志，還是網(wǎng)站的源代碼，我們都要利用起來(lái)，徹底的找到網(wǎng)站被攻擊的根源。