今天，收到微構(gòu)網(wǎng)絡(luò)公眾號(hào)的推送，推送一條某系統(tǒng)的入侵預(yù)警。但通過(guò)檢查網(wǎng)站本身并沒(méi)有發(fā)現(xiàn)有什么異常的情況，但是進(jìn)一步分析系統(tǒng)日志發(fā)現(xiàn)凌晨的時(shí)候有一條入侵記錄引起了我們的注意。原來(lái)是該系統(tǒng)一個(gè)目錄中客戶(hù)掛了其他的某開(kāi)源程序，攻擊者通過(guò)該開(kāi)源程序的漏洞向系統(tǒng)程序內(nèi)注入了木馬程序，我們提取了該木馬程序的樣本如下：

木馬腳本的部分

通過(guò)解密和調(diào)試可以得到該木馬程序的明文代碼，其中部分如下：

解密后的木馬腳本的部分

通過(guò)分析可以知道，該木馬程序主要作用就是向目標(biāo)網(wǎng)站投遞非法信息的頁(yè)面，也就是俗稱(chēng)的“掛馬”。觸發(fā)該程序功能的條件是：

指定后綴名且是搜索引擎蜘蛛訪(fǎng)問(wèn)，通過(guò)UA判斷，比如百度的BaiduSpider、宜搜的Yisou、搜狗的Sogou、字節(jié)的Bytespider等，就會(huì)打開(kāi)網(wǎng)址變成非法篡改的頁(yè)面。

通過(guò)進(jìn)一步分析可知，該木馬至少被注入到數(shù)百上千個(gè)網(wǎng)站，而其中很多都是政府、社會(huì)組織、大型企業(yè)官網(wǎng)、事業(yè)單位、高校，甚至還有知名的安全公司官網(wǎng)（有點(diǎn)滑稽）。下面列舉幾個(gè)：

某知名安全公司官網(wǎng)被該木馬注入

某地政府機(jī)構(gòu)官網(wǎng)被該木馬注入

通過(guò)分析發(fā)現(xiàn)，被注入該木馬的網(wǎng)站采用的技術(shù)方案各種各樣，包括不少知名的開(kāi)源程序或開(kāi)發(fā)框架。由于該木馬程序觸發(fā)條件比較隱蔽，所以很多被害網(wǎng)站被注入幾個(gè)月甚至幾年都沒(méi)有被發(fā)現(xiàn)。如下圖所示，就是某瀏覽器官網(wǎng)已經(jīng)被至少注入半年了，目前還存在該木馬程序生成的非法頁(yè)面。

某瀏覽器官網(wǎng)搜索快照包含被掛馬的非法頁(yè)面

而我們客戶(hù)系統(tǒng)因其同目錄下其他開(kāi)源程序漏洞導(dǎo)致被注入該木馬后，微構(gòu)網(wǎng)絡(luò)安全巡查系統(tǒng)在第一時(shí)間推送預(yù)警信息到我們個(gè)人微信上，第一時(shí)間完成處置工作，把影響降低到最小化。在此，提醒微構(gòu)網(wǎng)絡(luò)所有用戶(hù)，特別是自行進(jìn)行后續(xù)技術(shù)維護(hù)的客戶(hù)單位，強(qiáng)烈建議保持接入微構(gòu)網(wǎng)絡(luò)安全巡查系統(tǒng)，它講成為您的安全小幫手。除了安全巡查，它還能自動(dòng)檢測(cè)網(wǎng)站狀態(tài)（是否可訪(fǎng)問(wèn)、是否被篡改等）、SSL證書(shū)狀態(tài)（到期時(shí)間、可用性，到期前會(huì)推送提示通知）、域名狀態(tài)等。

中秋節(jié)要到了，祝大家節(jié)日快樂(lè)。同時(shí)，提醒大家如果收到巡查系統(tǒng)發(fā)出的預(yù)警信息，請(qǐng)及時(shí)聯(lián)系我們進(jìn)行處置。

未來(lái)，我們將進(jìn)一步加強(qiáng)完善微構(gòu)網(wǎng)絡(luò)自動(dòng)巡查系統(tǒng)，更好地服務(wù)我們的用戶(hù)，同時(shí)為更安全的網(wǎng)絡(luò)環(huán)境貢獻(xiàn)自己的綿薄之力。