当前位置 : 首页  实用指南 正文

WEB服务器遭到攻击后做的一些优化

2017-10-19 10:42 来源:网络 作者:网络

近日发现WEB服务器遭到攻击,篡改了首页信息。打开首页后发现,篡改的首页信息是隐藏的。右击查看源码在最下面找到了一些莫名奇妙的友情连接,就去WEB服务器上查找可疑的文件,并查看WEB的access.log 没有发现问题(马虎)。 查看网站的主目录发现有可疑文件,分别在网站的主目录下和FCK下有一下0.jsp 1.jsp 00.php文件,并在FCK文件夹里发现有可疑的exe文件,分别有三个文件cmd.exe和FindPass.exe 看到这里心想完了,系统不保了,看了一下文件的上传日期就再次查看了一下access.log文件,发现有可疑的地方并执行了一个jsp的文件,马上复制这个地址在浏览器上打开发现 是一个“小马” 能执行成功。“小马”上传上去以后他们就可以接着上次“大马”和其他的他们用到的程序了,看来是我们WEB部署的程序上有上传的漏洞。被人家拿到了webshell。
环境:windows+apache+php+tomcat+jk
分析:由于环境是支持jsp和php的所以在jsp的环境运行php是可以的,在php的环境下运行jsp也是可以运行的。上传目录的权限也有执行的权限。程序上也没有做真实的文件类型验证。
做修复工作:服务上优化:把运行jsp的目录禁止php的运行,把上传目录的脚本解析权限去掉。apache的配置文件设置的太糙。以前设置apache的配置文件是,除了。jpg .js .png .html等一些静态的文件又apache来处理,以外的所有有tomcat来处理。现在要修改tomcat来处理的一些用到的扩展名,其它都由apache来处理。这样才能拒绝扩展名的执行,因为apache和tomcat一起工作时 apache会将tomcat处理的文件名先给tomcat然后在看禁止权限规则。由于我们的网站都是动态的地址所以用不到jsp后缀名,所以。jsp的后缀名可以交给apache来处理,可以拒绝这个扩展名也可以不拒绝,就是不拒绝这个jsp扩展名的文件打开以后他也不会执行,他会显示这个jsp文件的内容。即使他改成jsp1 也是不能执行的。然后再限制一下php就好限制了,网上有很多。把phpflag engine off 加到不想让php执行的目录权限里就可以了最终的配置文件:#vi uriworkermap.properties###这里是交给我们的tomcat来处理的后缀名JkMount /*.key tomcatJkMount /*.aaa tomcat……httpd.conf 配置文件修改#vi httpd.conf###这个目录不允许运行php脚本,和禁止运行。jsp*、。php*的后缀名phpflag engine offOrder allow,denyDeny from all重启apache服务,测试吧以上配置都亲自测试过。哪里写的不好的、看不明白的请多多指点。
程序上优化:程序上的优化就是来做真实的文件类型来判断是否能够上传。

热门推荐文章
品类齐全,轻松购物 多仓直发,极速配送 正品行货,精致服务 天天低价,畅选无忧
购物指南
购物流程
会员介绍
生活旅行/团购
常见问题
大家电
联系客服
配送方式
上门自提
211限时达
配送服务查询
配送费收取标准
海外配送
支付方式
货到付款
在线支付
分期付款
邮局汇款
公司转账
售后服务
售后政策
价格保护
退款说明
返修/退换货
取消订单
特色服务
夺宝岛
DIY装机
延保服务
京东E卡
京东通信
京东JD+