网站篡改应急响应与后门分析报告.pdfVIP

1.简述

某天，发现被提示页面部分已被篡改。

通过查看快照，发现首页确实被篡改，内容被编码，内容

如下

从上可确认，确实存在页面篡改情况。

2.排查过程

本次的排查过程还是很有趣的，中间还是有好多雷点，首先登录管理后

台，发现首页篡改时间为10月6号

通过对日志进行分析发现者通过test.php写入optimized.php后门，写

入时间为06/Oct/2019:13:01:36

test.php写入时间为2019年10月6号

test.php具体内容如下，可利用该后门通过如下

//plus/test.php?id=，生成optimized.php大马，访

问optimized.php，输入可成功登录该木马程序，这也可做为我们日后写马的方

法

在对日志进行进一步分析，来确定test.php是如何写进服务器。开始在日志中发现了

如下记录

看到这个好兴奋呀，结果才发现不是test.php内容，内容如下

在