郑重声明:挂马者及被挂马的用户注意了-领先建站CMS提供服务商我们专注于CMS建站产品的研发

34733 查看	85 回复

主题：[公告]郑重声明:挂马者及被挂马的用户注意了 [收藏主题]

转到：

科汛官方当前离线

47268 主题	145 广播	405 粉丝

级别:管理员

用户积分:101604 分
登录次数:7935 次
注册时间:2006/12/7
最后登录:2023/12/14
创始人

科汛官方发表于：2009/10/1 10:29:00 | 显示全部帖子查看该作者主题楼主

做官网就用科汛智能建站系统!

挂马者:在祖国六十华诞,大家都沉醉在刚开始的8天长假时,为了你自己的私利,换来成千上万人的痛骂,你觉得舒服吗,你的良心会安吗?

提醒你请尽快停止你的罪恶行为,否则必会糟法律的制裁及天遣!

致广大被挂马者:

本次挂马我们也深表歉意,甚至有部分用户怀疑是我们官方自己的行为,在此我们郑重声明"官方绝对不会做出这种事,官方程序从第一个版本至今从未放过任何后门，官方更希望用户的网站都能好，只有用户好了，科汛才会更好！"。

本次的挂马现象均为在template目录下多出 rss.asa 及 ks_data目录下多邮 kesionbak.asa两个一句话木马文件

以下是我们针对此次挂马的初步猜测：

猜测1：此次挂马起因跟admin/ks.template.asp 及 admin/include/upfilesave.asp这两个文件有关，一部分用户在下载科汛软件后，没有及时的将数据库(ks_data/kesioncms6.mdb)更名，导致数据库被下载，后台密码被破，还有用户，没有及时将默认管理员密码（admin888)进行修改，为了方便关闭了后台验证码，这些都可能导致后台被入侵，从而上传木马。经过分析部分被挂马的网站IIS志志，出现通过ks.template.asp文件上传了类似 aa.asp;.html的模板文件，如果没有将template目录的脚本权限禁止掉，利用IIS6 解释文件名的漏洞，就会被执行从而导致挂马！

解决：及时改数据库名称，及后台密码，认证码，尽量设置ks_data,template,uploadfiles目录不要给执行脚本的权限

猜测2:部分用户反应自己的网站根本就还没有被搜索引擎收录，也同样被挂马了。这里我们初步怀疑挂马者后台科汛后台的在线升级检测进行监控拦截，导致你的域名被知道。可以先打开admin/ks.update.asp，将自动检查新版关闭

'是否允许自动检测最新版本 true 允许 false 不允许
const EnabledAutoUpdate=true ,把true设成false

在没有确切知道具体挂马原因前，建议先删除admin/ks.template.asp和admin/upfilesave.asp文件，也希望被挂马的用户，能提供IIS日志的，跟帖上传！以便我们进一步分析具体操作过程！

另外说明下：世上没有100%安全的系统，也没有哪家开发家肯保证自己的程序100%安全，漏洞往往是不断的发现及修复，很大一部分的漏洞是操作系统最新爆露挖掘出来的。就比如前段时间的IIS 6文件解释执行漏洞！

做考试题库就用#科汛在线考试系统!

支持(0) |

反对(0)

顶端

底部

科汛官方当前离线

47268 主题	145 广播	405 粉丝

级别:管理员

用户积分:101604 分
登录次数:7935 次
注册时间:2006/12/7
最后登录:2023/12/14
创始人

科汛官方发表于：2009/10/1 10:59:00 | 显示全部帖子查看该作者主题沙发

有课程找生源就上科汛课堂街

以下是引用goon2005在2009-10-1 10:56:00的发言：
2009-09-29 04:30:45 W3SVC1994837639 124.172.159.118 POST /admin/include/UpFileSave.asp - 80 - 222.245.208.83 - 302 0 0
2009-09-29 04:30:45 W3SVC1994837639 124.172.159.118 GET /admin/include/Login.asp - 80 - 222.245.208.83 - 404 0 2
2009-09-29 04:30:45 W3SVC1994837639 124.172.159.118 POST /Template/rss.asa - 80 - 222.245.208.83 - 403 1 0
2009-09-29 04:30:47 W3SVC1994837639 124.172.159.118 POST /admin/include/UpFileSave.asp - 80 - 222.245.208.83 - 302 0 0
2009-09-29 04:30:47 W3SVC1994837639 124.172.159.118 GET /admin/include/Login.asp - 80 - 222.245.208.83 - 404 0 2
2009-09-29 04:30:48 W3SVC1994837639 124.172.159.118 POST /KS_Data/kesionbak.asa - 80 - 222.245.208.83 - 403 1 0
2009-09-29 04:30:49 W3SVC1994837639 124.172.159.118 POST /admin/include/UpFileSave.asp - 80 - 222.245.208.83 - 302 0 0
2009-09-29 04:30:49 W3SVC1994837639 124.172.159.118 GET /admin/include/Login.asp - 80 - 222.245.208.83 - 404 0 2
2009-09-29 04:30:50 W3SVC1994837639 124.172.159.118 POST /Images/2009060259291.asa - 80 - 222.245.208.83 - 404 0 2
2009-09-29 04:30:50 W3SVC1994837639 124.172.159.118 POST /admin/include/UpFileSave.asp - 80 - 222.245.208.83 - 302 0 0
2009-09-29 04:30:50 W3SVC1994837639 124.172.159.118 GET /admin/include/Login.asp - 80 - 222.245.208.83 - 404 0 2
2009-09-29 04:30:51 W3SVC1994837639 124.172.159.118 POST /css/css.asa - 80 - 222.245.208.83 - 404 0 3
2009-09-29 04:30:52 W3SVC1994837639 124.172.159.118 POST /admin/include/UpFileSave.asp - 80 - 222.245.208.83 - 302 0 0
2009-09-29 04:30:52 W3SVC1994837639 124.172.159.118 GET /admin/include/Login.asp - 80 - 222.245.208.83 - 404 0 2
2009-09-29 04:30:53 W3SVC1994837639 124.172.159.118 POST /html/indexs.asa - 80 - 222.245.208.83 - 404 0 2
2009-09-29 04:30:53 W3SVC1994837639 124.172.159.118 POST /admin/include/UpFileSave.asp - 80 - 222.245.208.83 - 302 0 0
2009-09-29 04:30:53 W3SVC1994837639 124.172.159.118 GET /admin/include/Login.asp - 80 - 222.245.208.83 - 404 0 2
2009-09-29 04:30:55 W3SVC1994837639 124.172.159.118 POST /js/sjs.asa - 80 - 222.245.208.83 - 404 0 2
2009-09-29 04:30:55 W3SVC1994837639 124.172.159.118 POST /admin/include/UpFileSave.asp - 80 - 222.245.208.83 - 302 0 0
2009-09-29 04:30:55 W3SVC1994837639 124.172.159.118 GET /admin/include/Login.asp - 80 - 222.245.208.83 - 404 0 2
2009-09-29 04:30:58 W3SVC1994837639 124.172.159.118 POST /index.asp - 80 - 222.245.208.83 - 302 0 0
2009-09-29 04:30:58 W3SVC1994837639 124.172.159.118 GET /Index.html - 80 - 222.245.208.83 - 200 0 0
2009-09-29 04:30:58 W3SVC1994837639 124.172.159.118 POST /admin/KS.Template.asp Action=AddTemplateFile 80 - 222.245.208.83 - 302 0 0
2009-09-29 04:30:58 W3SVC1994837639 124.172.159.118 GET /admin/Login.asp - 80 - 222.245.208.83 - 200 0 0
2009-09-29 04:30:58 W3SVC1994837639 124.172.159.118 POST /admin/KS.Template.asp Action=TemplateSave 80 - 222.245.208.83 - 302 0 0
2009-09-29 04:30:58 W3SVC1994837639 124.172.159.118 GET /admin/Login.asp - 80 - 222.245.208.83 - 200 0 0
2009-09-29 04:30:58 W3SVC1994837639 124.172.159.118 POST /Template/rss.html.asp;.html - 80 - 222.245.208.83 - 403 1 0
2009-09-29 04:30:59 W3SVC1994837639 124.172.159.118 POST /KS.Template.asp Action=FileReName&Path=/Template&CurrPath=/Template&OldFileName=rss.html.asp%3B.html&NewFileName=rss.asp 80 - 222.245.208.83 - 404 0 2
2009-09-29 04:31:00 W3SVC1994837639 124.172.159.118 POST /Template/rss.asp - 80 - 222.245.208.83 - 403 1 0
2009-09-29 04:31:00 W3SVC1994837639 124.172.159.118 POST /admin/KS.Template.asp Action=AddTemplateFile 80 - 222.245.208.83 - 302 0 0
2009-09-29 04:31:01 W3SVC1994837639 124.172.159.118 GET /admin/Login.asp - 80 - 222.245.208.83 - 200 0 0
2009-09-29 04:31:01 W3SVC1994837639 124.172.159.118 POST /admin/KS.Template.asp Action=TemplateSave 80 - 222.245.208.83 - 302 0 0
2009-09-29 04:31:01 W3SVC1994837639 124.172.159.118 GET /admin/Login.asp - 80 - 222.245.208.83 - 200 0 0
2009-09-29 04:31:01 W3SVC1994837639 124.172.159.118 POST /KS_Data/kesionbak.html.asp;.html - 80 - 222.245.208.83 - 403 1 0
2009-09-29 04:31:03 W3SVC1994837639 124.172.159.118 POST /KS.Template.asp Action=FileReName&Path=/KS_Data&CurrPath=/KS_Data&OldFileName=kesionbak.html.asp%3B.html&NewFileName=kesionbak.asp 80 - 222.245.208.83 - 404 0 2
2009-09-29 04:31:04 W3SVC1994837639 124.172.159.118 POST /KS_Data/kesionbak.asp - 80 - 222.245.208.83 - 403 1 0
2009-09-29 04:31:04 W3SVC1994837639 124.172.159.118 POST /admin/KS.Template.asp Action=AddTemplateFile 80 - 222.245.208.83 - 302 0 0
2009-09-29 04:31:04 W3SVC1994837639 124.172.159.118 GET /admin/Login.asp - 80 - 222.245.208.83 - 200 0 0
2009-09-29 04:31:04 W3SVC1994837639 124.172.159.118 POST /admin/KS.Template.asp Action=TemplateSave 80 - 222.245.208.83 - 302 0 0
2009-09-29 04:31:04 W3SVC1994837639 124.172.159.118 GET /admin/Login.asp - 80 - 222.245.208.83 - 200 0 0
2009-09-29 04:31:05 W3SVC1994837639 124.172.159.118 POST /Images/2009060259291.html.asp;.html - 80 - 222.245.208.83 - 404 0 2
2009-09-29 04:31:07 W3SVC1994837639 124.172.159.118 POST /KS.Template.asp Action=FileReName&Path=/Images&CurrPath=/Images&OldFileName=2009060259291.html.asp%3B.html&NewFileName=2009060259291.asp 80 - 222.245.208.83 - 404 0 2
2009-09-29 04:31:07 W3SVC1994837639 124.172.159.118 POST /Images/2009060259291.asp - 80 - 222.245.208.83 - 404 0 2
2009-09-29 04:31:09 W3SVC1994837639 124.172.159.118 POST /admin/KS.Template.asp Action=AddTemplateFile 80 - 222.245.208.83 - 302 0 0
2009-09-29 04:31:09 W3SVC1994837639 124.172.159.118 GET /admin/Login.asp - 80 - 222.245.208.83 - 200 0 0
2009-09-29 04:31:09 W3SVC1994837639 124.172.159.118 POST /admin/KS.Template.asp Action=TemplateSave 80 - 222.245.208.83 - 302 0 0
2009-09-29 04:31:09 W3SVC1994837639 124.172.159.118 GET /admin/Login.asp - 80 - 222.245.208.83 - 200 0 0
2009-09-29 04:31:09 W3SVC1994837639 124.172.159.118 POST /css/css.html.asp;.html - 80 - 222.245.208.83 - 404 0 3
2009-09-29 04:31:10 W3SVC1994837639 124.172.159.118 POST /KS.Template.asp Action=FileReName&Path=/css&CurrPath=/css&OldFileName=css.html.asp%3B.html&NewFileName=css.asp 80 - 222.245.208.83 - 404 0 2
2009-09-29 04:31:11 W3SVC1994837639 124.172.159.118 POST /css/css.asp - 80 - 222.245.208.83 - 404 0 3
2009-09-29 04:31:12 W3SVC1994837639 124.172.159.118 POST /admin/KS.Template.asp Action=AddTemplateFile 80 - 222.245.208.83 - 302 0 0
2009-09-29 04:31:12 W3SVC1994837639 124.172.159.118 GET /admin/Login.asp - 80 - 222.245.208.83 - 200 0 0
2009-09-29 04:31:12 W3SVC1994837639 124.172.159.118 POST /admin/KS.Template.asp Action=TemplateSave 80 - 222.245.208.83 - 302 0 0
2009-09-29 04:31:12 W3SVC1994837639 124.172.159.118 GET /admin/Login.asp - 80 - 222.245.208.83 - 200 0 0
2009-09-29 04:31:12 W3SVC1994837639 124.172.159.118 POST /html/indexs.html.asp;.html - 80 - 222.245.208.83 - 404 0 2
2009-09-29 04:31:14 W3SVC1994837639 124.172.159.118 POST /KS.Template.asp Action=FileReName&Path=/html&CurrPath=/html&OldFileName=indexs.html.asp%3B.html&NewFileName=indexs.asp 80 - 222.245.208.83 - 404 0 2
2009-09-29 04:31:14 W3SVC1994837639 124.172.159.118 POST /html/indexs.asp - 80 - 222.245.208.83 - 404 0 2
2009-09-29 04:31:16 W3SVC1994837639 124.172.159.118 POST /admin/KS.Template.asp Action=AddTemplateFile 80 - 222.245.208.83 - 302 0 0
2009-09-29 04:31:16 W3SVC1994837639 124.172.159.118 GET /admin/Login.asp - 80 - 222.245.208.83 - 200 0 0
2009-09-29 04:31:16 W3SVC1994837639 124.172.159.118 POST /admin/KS.Template.asp Action=TemplateSave 80 - 222.245.208.83 - 302 0 0
2009-09-29 04:31:16 W3SVC1994837639 124.172.159.118 GET /admin/Login.asp - 80 - 222.245.208.83 - 200 0 0
2009-09-29 04:31:16 W3SVC1994837639 124.172.159.118 POST /js/sjs.html.asp;.html - 80 - 222.245.208.83 - 404 0 2
2009-09-29 04:31:17 W3SVC1994837639 124.172.159.118 POST /KS.Template.asp Action=FileReName&Path=/js&CurrPath=/js&OldFileName=sjs.html.asp%3B.html&NewFileName=sjs.asp 80 - 222.245.208.83 - 404 0 2
2009-09-29 04:31:17 W3SVC1994837639 124.172.159.118 POST /js/sjs.asp - 80 - 222.245.208.83 - 404 0 2

从你的这个日志里看得出是通过KS.Template.asp 上传的后门,请清除木马及删除我上面说的这两个文件后,做下观察!

做新职业技能培训平台就选#科汛网校

支持(0) |

反对(0)

顶端

底部