网页篡改简介
• 网页篡改，即攻击者故意篡改网络上传送的文件，通常以入侵系统并篡改数据、劫持网络连接或插入数据等形式进行
• 网页篡改一般有两种：显式和隐式。显式网页篡改指攻击者为炫耀自己的技术技巧，或表名自己的观点实施的网页篡改；隐式网页篡改一般是在网页中植入色情、诈骗等非法链接，再通过灰色、黑色产业牟取非法经济利益
• 攻击者为了篡改网页，一般需要提前找到并利用网站漏洞，在网页中植入后门，并最终获取网站控制权
网页篡改——模拟攻击
• 正常的公司首页
• 经过扫描发现目录下存在文件上传：upload.php，并且可以上传木马程序
1、发现公司网站存在文件上传的页面，尝试上传 webshell 可以成功
2、使用蚁剑连接 webshell 成功
3、在蚁剑中，修改公司首页的代码，在index.html中插入js代码，在页面中插入暗链
<script type="text/javascript">
var search=document.referrer;
if(search.indexOf("baidu")>0||search.indexOf("bing")>0||search.indexOf("soso")>0||search.indexOf("google")> 0||search.indexOf("sogou")>0)
self.location="http://www.4399.com/";
</script>
• 在页面中插入暗链后，只要 referer 中存在 baidu、google、sogou等的都会转到
www.4399.com 页面
• 也就是在以上这些搜索引擎中搜索到该站点，点击后，就自动会跳转到另一个站点
应急响应——事件处置
1、服务器可疑进程分析
• 使用 PCHunter、Procexp64 等工具对进程、服务、启动项、任务计划进行分析，未发现可疑进程
2、网站后门木马查杀
• 通过对网站目录进行后门木马查杀，发现网站目录下存在一句话木马文件，名为
default.php，上传时间为xxx （工具 D盾、河马等）
3、可疑用户分析
• 经过查看后，发现服务器存在隐藏用户 test$
• 通过计算机管理或者注册表中查看隐藏用户
4、日志分析
• 查看 Apache 相关日志，查看是否有异常访问的日志
5、结论
• 公司首页被植入暗链
• 攻击者疑似通过文件上传漏洞，上传木马程序，然后在首页源码中插入暗链，使得用户从各大搜索引擎进入首页的时候，跳转到另一个站点
应急响应——根除与恢复
1、删除暗链代码，如果网站源码有备份的话，直接从备份中还原
2、删除可疑目录下的webshell，删除 default.php文件，全盘查杀病毒以及 webshell
3、删除隐藏用户、修改主机用户密码、数据库密码、网站后台密码等
4、进行渗透测试，查找系统漏洞，修补漏洞
