账号通
    

账号  

密码  

55712

查看

59

回复
主题:[分享]科汛安全小常识(2008-5-18)! [收藏主题] 转到:  
科汛官方 当前离线

47268

主题

145

广播

404

粉丝
添加关注
级别:管理员

用户积分:101604 分
登录次数:7935 次
注册时间:2006/12/7
最后登录:2023/12/14
科汛官方 发表于:2008/5/18 11:57:00   | 只看该作者 查看该作者主题 楼主 
科汛智能建站系统

大家好!


 


网站被挂马的路径有多种,如程序方面的漏洞引起,IIS挂马,arp欺骗,sql数据库漏洞等等


 


1.程序方面:


   首先就要保证程序已打上官方发布的所有最新补丁,及时升级到最新版本.如果之前已经中过马,单打上补丁还是不行,必须把这个放马的后门(木马文件)找出来,如利用http://down.chinaz.com/soft/19730.htm这个工具来查找.只有真正的把木马文件找出来并删除了,才算安全!(小提示:如果在你的网站上找不到木马文件,很有可能就是通过服务器漏洞来挂马)


  接下来说说程序的安全设置(针对kesioncms系统):


  a、修改默认数据库名称


  如果你的网站用的是acces数据库,一定要把默认的数据库名称改掉(科汛默认data/KesionCMS4.mdb),改成asp,asa,config扩展名等,如kesion!@#!!.asa 以防止数据库被下载.


  相应的要改下conn.asp里的数据库路径,程序才能运行


 


    DBPath       = "/KS_Data/KesionCMS4.mdb"      '改成你修改后的数据库名称 如/ks_data/kesion!@#!!.asa


 


 b、启用认证码,并修改默认的认证码为你自己设置


   具体修改方法,请打开admin/chkcode.asp ,


Const EnableSiteManageCode = True        '是否启用后台管理认证码 是: True  否: False
Const SiteManageCode = "8888"      '后台管理认证码,请修改,这样即使有人知道了您的后台用户名和密码也不能登录后台


 


根据提示,设置相应的认证码,请一定要把默认的改掉!否则启不到作用。另外有些用户喜欢将认证码取为和网站域名一样,这样也不是很安全,容易被不法分子猜到。


 c、修改后台管理目录


 


   科汛默认的管理目录是admin,为了安全起见,建议把它改掉,改了管理目录以后需要到后台基本信息设置->其它选项里也改一下


后台管理目录:改成和你设置的目录一致!否则可能导致后台有些功能无法使用。


 


 d、修改默认管理用户名,密码


  科汛初始用户名admin 密码admin888 ,请一定要改掉!


 e、目录安全设置(也是比较关键的一步)


 


 注意有些目录不要给太大的权限,比如upfiles设置为不允许执行asp,FriendLink,GuestBook,Images,ks_cls,user等不给修改权限


  再比如你的网站是启用了生成静态功能,并且都生成在html目录,那么只需要给html目录及根目录(生成网站首页需要有修改权限),上传目录(upfiles)等具有修改权限,其它目录都可以禁止修改!


 科汛程序如果其它目录不给修改权限,可能需要稍改两个文件


  一个是ks_cls/ks.managecls.asp


  找到Sub ClassAction(ChannelID)


        exit sub
    Response.Write "<iframe src=""KS.ClassMenu.asp?action=Create"" frameborder=""0"" width=""0"" height=""0""></iframe>"


 加上红色的字,让添加/修改栏目时不要自动生成搜索文件search.js,这样才不会因权限不够而提示出错


 


另一个是admin/ks.system.asp(当ks_inc目录禁止修改里需要修改如下代码)


找到如下


 RS("TBSetting")=ThumbSetting
    RS.Update
    
     Dim FSO, FileObj, FileStreamObj,FileContent,FileName
     Set FSO = CreateObject(KS.Setting(99))
      FileName = Server.MapPath("../KS_Inc/ajax.js")
      Set FileObj = FSO.GetFile(FileName)
      Set FileStreamObj = FileObj.OpenAsTextStream(1)
     If Not FileStreamObj.AtEndOfStream Then
      FileContent = FileStreamObj.ReadAll
      FileContent=GetAjaxInstallDir(FileContent,installdir)
      Set FileObj = FSO.CreateTextFile(FileName, True)
      FileObj.Write FileContent
     End If
      Set FSO = Nothing:Set FileObj = Nothing:Set FileStreamObj = Nothing


 


 


这个是自动获取安装目录,自动修改ks_inc/ajax.js的里安装目录文件,也可以需要删除! 


 



 f、如果你的网站标签没有启用ajax输出,可以把ks_inc/ajax.js文件删除


 打开文件ks_cls/ks.rcls.asp, 并找到


 Function Published()
   On Error Resume Next
    Published=vbcrlf &"<script src=""" & domainstr & "ks_inc/ajax.js""></script>" & vbcrlf
   If SysVer = 0 Then 


把红色的删除,并所有页面重新生成,即不会调用到ajax.js


 


 另一种方法是改ajax.js文件名(根据目前发现很多用户的网站被挂都是出现在ajax.js),可以尝试改这个文件名称。如ajax2008.js等。


 


 g、一个网站程序安装了其它程序的插件


  如果你的程序并非只装有一个科汛程序,比如还装一些论坛程序,博客程序。这种情况也有可能会导致科汛程序被挂马。


 


h、删除不想要用的科汛插件或程序


 


  科汛程序的插件都放在plus目录下,如果你觉得这些插件没有什么作用,你可以尝试删除


 科汛最新版里的plus主要有三个目录可以删除,cc,sk_cj,wss,需要注意的是删除cc需要修改编辑器的一个文件,不然可能导致科汛自带的编辑器无法使用。具体文件在ks_cls/ks.editorcls.asp


打开文件并找到


<!--#Include File="../Conn.asp"-->
<!--#include file="../plus/cc/config.asp"-->
<%
'****************************************************
删除上面红色的,并继续往下找到


ButtonArr(2,31)="<td><object width='86' height='22'><param name='wmode' value='transparent' /><param name='allowScriptAccess' value='always' /><param name='movie' value='http://union.bokecc.com/flash/plugin_" & buttonstyle & ".swf?userID=" & userid & "&type=kesioncms' /><embed src='http://union.bokecc.com/flash/plugin_" & buttonstyle & ".swf?userID=" & userid & "&type=kesioncms' type='application/x-shockwave-flash' width='86' height='22' allowFullscreen=true ></embed></object></td>"


改成


ButtonArr(2,31)="<td></td>"


 


 


  还有一个文件是ks_inc/online.asp,这是站点计数器的文件,如果你没有用到,也可以删除!


  



2、服务器方面


 排除程序方面,就有可能是服务器安全方面的漏洞了。比如iis挂马,arp期骗挂马。这里你如果是自己的服务器就得注意做好服务器安全工作,如打上iis的所有最新补丁,装arp防火墙等等


 


 


 


 


 


以下给出几个常见可能的挂马方法及处理方法


1、服务器所在网络有ARP病毒(不一定要服务那台机器中了才会有,网内其他机中IIS出去的网页都会中招),打ARP免疫补丁,装ARP防火墙,杀毒软。
2、服务器主机中了病毒,系统多出未知进程。
3、病毒加在IIS 的ISAPI扩展,此处多出一项启动状态的未知道扩展,停止IIS,找到它相关的文件删除,重启IIS一般能解决。
4、配置文件挂马



%windir%\system32\inetsrv\MetaBase.xml 这文件里面有类似的:DefaultDocFooter="FILE:C:\Inetpub\wwwroot\iisstart.htm"  iisstart.htm文件内有病毒代码。删除它一般就能解决。

 


 


iframe批量替换工具


http://bbs.kesion.com/dispbbs.asp?boardid=41&Id=29503


 


[分享] 解决iframe挂马方法


http://bbs.kesion.com/dispbbs.asp?boardid=41&Id=48878


 



 
  支持(0) | 反对(0) 回到顶部顶端 回到底部底部
fdjzsb 当前离线

40

主题

0

广播

0

粉丝
添加关注
级别:学前班

用户积分:220 分
登录次数:2 次
注册时间:2010/5/28
最后登录:2010/6/9
fdjzsb 发表于:2010/6/2 15:11:00   | 只看该作者 查看该作者主题 沙发 
做在线知识付费 选科汛云开店
 收藏咯 !写的不错也 、
 
  支持(0) | 反对(0) 回到顶部顶端 回到底部底部
chenzhengjia 当前离线

303

主题

3

广播

1

粉丝
添加关注
级别:三年级

用户积分:11737 分
登录次数:709 次
注册时间:2010/4/2
最后登录:2019/4/28
chenzhengjia 发表于:2010/5/14 10:16:00   | 只看该作者 查看该作者主题 藤椅 
 
  支持(0) | 反对(0) 回到顶部顶端 回到底部底部
wangsufeng 当前离线

29

主题

0

广播

0

粉丝
添加关注
级别:学前班

用户积分:322 分
登录次数:7 次
注册时间:2009/12/5
最后登录:2010/4/20
wangsufeng 发表于:2010/4/15 19:48:00   | 只看该作者 查看该作者主题 板凳 
 
  支持(0) | 反对(0) 回到顶部顶端 回到底部底部
rsjq 当前离线

125

主题

0

广播

0

粉丝
添加关注
级别:一年级

用户积分:350 分
登录次数:6 次
注册时间:2010/4/8
最后登录:2010/6/26
rsjq 发表于:2010/4/10 10:59:00   | 只看该作者 查看该作者主题 报纸 
科汛智能建站系统
网站被挂马是一件让人头疼的事!
 
  支持(0) | 反对(0) 回到顶部顶端 回到底部底部
hhsw 当前离线

45

主题

0

广播

0

粉丝
添加关注
级别:学前班

用户积分:220 分
登录次数:5 次
注册时间:2010/3/26
最后登录:2011/10/8
hhsw 发表于:2010/3/26 15:02:00   | 只看该作者 查看该作者主题 地板 
科汛在线考试系统(NET)
做好站后  安全性因素 也应该 考虑到位!
 
  支持(0) | 反对(0) 回到顶部顶端 回到底部底部
huiru1221 当前离线

50

主题

0

广播

0

粉丝
添加关注
级别:学前班

用户积分:20 分
登录次数:3 次
注册时间:2010/2/12
最后登录:2010/4/13
huiru1221 发表于:2010/2/19 9:20:00   | 只看该作者 查看该作者主题 7楼 
科汛在线考试系统(NET)
曹县信息港水浒故里门户网站推广曹县信息 曹县曹县门户网站,树立曹县形象曹县信息港,开拓曹县互联网天地,免费广告投放!
 
  支持(0) | 反对(0) 回到顶部顶端 回到底部底部
bydlyzx 当前离线

71

主题

0

广播

0

粉丝
添加关注
级别:学前班

用户积分:315 分
登录次数:7 次
注册时间:2009/12/11
最后登录:2010/1/25
bydlyzx 发表于:2009/12/11 19:43:00   | 只看该作者 查看该作者主题 8楼 
科汛在线商城系统(NET)
 还没看明白,先谢谢。
 
  支持(0) | 反对(0) 回到顶部顶端 回到底部底部
dsj123 当前离线

65

主题

0

广播

0

粉丝
添加关注
级别:学前班

用户积分:521 分
登录次数:6 次
注册时间:2009/3/12
最后登录:2010/1/17
dsj123 发表于:2009/11/19 13:06:00   | 只看该作者 查看该作者主题 9楼 
做在线知识付费 选科汛云开店
不错,值得顶起来啊,呵呵
 
  支持(0) | 反对(0) 回到顶部顶端 回到底部底部
lxpsh 当前离线

23

主题

0

广播

0

粉丝
添加关注
级别:学前班

用户积分:100 分
登录次数:1 次
注册时间:2009/10/21
最后登录:2009/10/21
lxpsh 发表于:2009/10/21 15:59:00   | 只看该作者 查看该作者主题 10楼 
 
  支持(0) | 反对(0) 回到顶部顶端 回到底部底部
<上一主题 | 下一主题 >
Powered By KesionCMS Version X1
厦门科汛软件有限公司 © 2006-2016 页面执行0.37305秒 powered by KesionCMS 9.0