湖北國菱網(wǎng)絡(luò)安全小組緊急處理荊州某集團網(wǎng)站被入侵事件
來源:荊州松滋網(wǎng)絡(luò)安全
時間:2017-04-19
2017年4月15日,湖北國菱網(wǎng)絡(luò)安全小組接到荊州某集團網(wǎng)站服務(wù)器被入侵通知,荊州網(wǎng)監(jiān)檢測到網(wǎng)站有掛馬的現(xiàn)象,被責(zé)令關(guān)閉。事情緊急,公司網(wǎng)絡(luò)安全小組全體人員展開了調(diào)查分析,綜合荊州某集團工作人員描述,迅速從技術(shù)層面總結(jié)出事件始末,進(jìn)行了緊急處理,現(xiàn)網(wǎng)站已全面恢復(fù)上線。
事情處理經(jīng)過:
首先,查清楚黑客入侵方法,經(jīng)過湖北國菱網(wǎng)絡(luò)安全團隊十余小時的觀察與分析,分析整個網(wǎng)站域名下的子域名和服務(wù)器集群,鎖定重點目標(biāo),鎖定外網(wǎng)ip,內(nèi)網(wǎng)服務(wù)器木馬源頭。入侵者通過網(wǎng)站服務(wù)器利用sql注入漏洞入侵網(wǎng)站,隨后上傳了多個PHP腳本木馬,如下圖,紅色框內(nèi)為木馬文件。
鑒于以上情況,湖北國菱網(wǎng)絡(luò)安全團隊結(jié)合以往經(jīng)驗以及該單位服務(wù)器群實際情況,采取了以下處理措施:
1.查看服務(wù)器日志,分析入侵手段,對服務(wù)器進(jìn)行SQL過濾,封堵SQL注入漏洞;
2.對服務(wù)器文件進(jìn)行實時監(jiān)控,生成日志;
3.對所有網(wǎng)站進(jìn)行漏洞掃描排查,經(jīng)檢查無異常;
4.對所有網(wǎng)站進(jìn)行恢復(fù)上線。
整改方案:
1.將網(wǎng)站主域名下的子域名全部登記備案,子域名所運行的網(wǎng)站程序無論是否在本機房,均必須按照嚴(yán)格標(biāo)準(zhǔn)審核后再上線,以免給主域名造成負(fù)面影響;
2.重申并認(rèn)證觀測,所有技術(shù)操作人員在網(wǎng)站根目錄下禁止存放與網(wǎng)站本身運行無關(guān)的其他文件(包括附件);
3.講我們一周一次的掃描檢測升級為一天一次,形成報告,發(fā)現(xiàn)異常,短信通知相關(guān)人員;
4.加強所有后臺服務(wù)器密碼權(quán)限管理,密碼更換等。