网站被恶意篡改事件分析与应急响应教学文档

一、事件概述

某公司网站被监管单位通报存在色情违规内容，经调查发现网站首页源代码被恶意篡改。攻击者通过遗留的管理员密码重置脚本获取后台权限，上传多个Webshell后门文件，最终导致网站被控制。

二、事件分析流程

1. 初步调查

• 网站检查：发现首页index.html文件被修改（修改时间为6月28日19:08）
• 环境确认：
  • 部署在四川西部数码服务商的虚拟空间
  • 仅通过FTP维护更新
  • 无服务器直接登录权限
  • 未部署安全防护措施

2. 取证注意事项

• 文件下载方法：需将虚拟空间文件打包为压缩包下载，避免单个文件下载导致时间戳变更
• 时间线建立：以文件修改时间为基准建立攻击时间线

3. 后门检测

使用D盾webshell专杀工具扫描wwwroot目录：

• 检测5731个文件
• 发现6个恶意文件：
  • radminpass.php：dedecms管理员重置脚本
  • config.php、buak.php、lower.php、pig.php、need.php：均为大马后门文件

三、攻击路径分析

1. 初始入侵点

• radminpass.php：织梦CMS官方发布的管理员密码重设工具
  • 功能：无需旧密码即可重置管理员密码
  • 访问方式：URL/radminpass.php
  • 问题：运维人员使用后未及时删除

2. 攻击时间线

1. 6月27日8:21：攻击者IP(1.206.x.x)访问radminpass.php
2. 8:22：通过POST请求修改admin密码
3. 8:24：登录后台(/tmcmspc56/login.php)
4. 8:24：访问file_manage_view.php（后台文件管理器）
5. 8:24：通过文件管理器上传config.php（第一个Webshell）

3. 后门传播链

1. config.php → 上传buak.php
2. buak.php → 上传app.php（已删除）
3. app.php → 上传lower.php和need.php
4. pig.php：可能是已有后门文件重命名

四、技术细节分析

1. 后门文件功能

• 大马后门：提供完整服务器控制功能，包括：
  • 文件管理
  • 命令执行
  • 数据库操作
  • 端口扫描等

2. 攻击者行为特征

• IP地址频繁变更，疑似Webshell买卖行为
• 采用"后门生后门"的横向移动策略
• 时间间隔短，操作熟练

五、应急响应措施

1. 立即处置

1. 隔离受感染系统
2. 备份当前所有网站文件和日志
3. 删除所有确认的恶意文件
4. 重置所有管理员密码
5. 移除radminpass.php等敏感脚本

2. 系统加固

1. 定期检查并删除不必要的管理脚本
2. 实施最小权限原则
3. 部署Web应用防火墙(WAF)
4. 启用文件完整性监控
5. 定期安全审计和漏洞扫描

3. 日志监控

1. 启用详细访问日志记录
2. 监控异常文件修改
3. 设置敏感操作告警

六、经验教训

1. 运维管理问题：

   • 敏感脚本使用后未及时删除
   • 缺乏定期安全检查
   • 权限控制不足

2. 安全防护缺失：

   • 无基本防护措施
   • 无异常行为监控
   • 无文件完整性校验

3. 应急响应改进：

   • 建立完整的事件响应流程
   • 定期进行安全演练
   • 完善日志收集和分析能力

七、防护建议

1. CMS系统加固：

   • 及时更新CMS和插件
   • 删除默认后台路径
   • 禁用不必要的功能模块

2. 文件管理：

   • 限制文件上传类型
   • 设置不可执行目录
   • 定期检查文件变更

3. 访问控制：

   • 实施IP访问限制
   • 启用双因素认证
   • 限制管理后台访问

4. 监控与响应：

   • 部署SIEM系统
   • 建立应急响应团队
   • 制定详细响应预案

通过此事件可以看出，即使是简单的管理疏忽也可能导致严重的安全事件。建立完善的安全运维体系和应急响应机制是防范此类攻击的关键。