《阿里云异常网络连接-可疑WebShell通信行为的提示》由会员分享，可在线阅读，更多相关《阿里云异常网络连接-可疑WebShell通信行为的提示（5页珍藏版）》请在金锄头文库上搜索。
1、2018年10月27日接到新客户网站服务器被上传了webshell脚本木马后门问题的求助,对此我们sine安全针对此问题进行了详细的分析，一般被阿里云提示异常网络连接-可疑WebShell通信行为,还有提示网站后门-发现后门(Webshell)文件,以及提示网站后门-一句话webshell的大部分都是单独服务器的用户,具体被提示的截图如下：点开消息后的内容为：受影响资产 iZ2393mzrytZ访问者IPWebshell URL事件说明 云盾检测到有疑似黑客正在通过Webshell访问该服务器，可能是因为服务器上网站存在漏洞被植Webshell或者因为已发现的Webshell未及时删除导致黑客
2、入侵。黑客可通过该Webshell窃取网站核心资料，篡改数据库等危险操作。解决方案 建议按照告警中提示URL查找网站对应磁盘文件进行删除，并及时登录安骑士网站后门控制台，对未隔离的后门文件进行及时隔离，避免更一步损失。看到这些内容后,我们就要对这个问题进行分析,因为这个提示是反复性质的被提示,比如9.26日被提示2次过了几天又出现新的webshell文件位置然后又被提示,首先我们要清楚为何会被提示可疑webshell通信行为以及网站后门-一句话webshell和发现后门webshell文件,服务器里的网站程序存在漏洞导致被黑客入侵上传了webshell脚本后门文件。那么什么是网站后门websh
3、ell文件呢？webshell文件就是黑客通过网站的漏洞入侵上传了一个脚本文件而这个脚本文件语言有很多种比如php文件asp文件aspx文件jsp文件,每个网站代码语言中都有,具体webshell的通俗容易理解的意思就是这个脚本文件有强大的管理功能可以修改和上传网站目录下的所有文件,如果服务器中网站目录权限设置的不当,可以浏览整个服务器里的盘符文件任意修改,具体这个webshell文件到底有多强大看下截图就知道了,如图：一般这个后门脚本文件的大小在50KB到150KB之间,具体这个后门webshell文件的代码内容是什么呢那么我来截图给大家看下：看到上述图片中的功能了吗这就是后门webshel
4、l文件,这个可怕性具有多高只有切身体会才会知道,网站经常被篡改跳转到其他网站，以及数据被篡改,都是因为网站有漏洞导致被上传了这些脚本后门webshell文件。那么什么是网站后门一句话webshell的呢上面第一个介绍了什么是webshell文件,大家了解后会对这个一句话webshell不太理解,那么由我们sine安全通俗给大家来讲就是用简短的程序后门代码构造成的脚本文件就是一句话webshell文件,具体事例如图：代码很简短只有一行所以会被称为一句话webshell，主要功能就是通过一个post提交参数可以上传任意文件到网站目录下，而且这个木马利于隐蔽或嵌入到任意程序文件中来混淆，而且特殊隐蔽
5、性质的一句话webshell是无法通过阿里云安全所扫描到而提示的。接下来我们来了解一下可疑WebShell通信行为是什么就会通过上述两个问题的分析就会大体知道具体意思了。那么什么是异常网络连接-可疑WebShell通信行为呢？就是通过网站漏洞上传了后门webshell文件后通过网址形式的访问并且操作了上传或修改文件的这个通信过程就会被提示为异常网络连接-可疑WebShell通信行为。如何解决总被上传后门webshell文件？1.对网站进行详细的网站安全检测,以及网站漏洞的检测对网站代码的安全审计,比如对图片上传进行扩展名的严格过滤以及对图片目录进行脚本权限限制，对生成静态文件权限进行控制只允许
6、生成html和htm.2.网站发布文件内容编辑器的使用一定要先验证管理员权限才能使用编辑器,对网站的后台管理目录千万别用默认的文件名为admin或guanli或manage等.3.服务器安全方面要加强对磁盘目录的权限防止跨目录浏览和修改,以及网站iis进程或apache进程运行的账户进行单独账户设置出来分别授予权限。4.网站中要对sql注入攻击进行防范,对提交中的内容进行过滤或转义,对网站管理员的密码进行加强设置为大小写字母和数字加符号的组合最低12位以上。5.尽量不要用开源的程序如dedecms,metinfo,WordPress,ecshop,zencat,Discuz,phpcms,帝国cms等等如果对程序代码不熟悉的话建议找专业做网站安全公司来处理此问题,国内推荐Sinesafe,绿盟,启明星辰等等6.单独服务器linux系统和win2008,win2012系统的服务器安全加固以及网站安全部署都要详细的进行防护,因为即使网站程序再安全,服务器不安全的话那么照样还是会被牵连，所以说知己知彼才能百战百胜,希望各位有此问题的朋友多多了解这个问题的严重性以及问题的解决方案。
