网站整改情况说明

网站被挂马这件事，网站我是整改上周二下午发现的。那天正在翻后台日志，情况突然看到一条凌晨三点的说明访问记录，IP来自境外，网站请求路径里带着一串乱码参数。整改当时心里就咯噔一下——这八成是情况被人扫到漏洞了。

果不其然，说明登录服务器一看，网站根目录下多了两个没见过的整改PHP文件，文件名伪装成系统缓存，情况实际内容是说明一段加密过的webshell。更麻烦的网站是，首页底部被插入了一段隐藏的整改iframe，指向一个博彩网站。情况用浏览器直接打开倒看不出异常，但查看源代码就能发现猫腻。这种手法不算高明，可要是没留意，挂上十天半个月都有可能。

问题不止一个

排查过程中又陆续翻出几处毛病。一个是后台登录接口没有做频率限制，我用脚本试了试，一分钟能跑两千次请求，这等于给暴力破解开了绿灯。另一个是上传功能，虽然限制了后缀名，但校验逻辑写在前端，抓包改一下就能绕过。还有个老问题——数据库连接密码居然是明文写在配置文件里的，而且这个文件可以通过构造路径直接下载。

说实话，这几个漏洞单拎出来都不算致命，但凑在一起就麻烦了。攻击者可以先下载配置文件拿到数据库账号，再通过上传漏洞传webshell，最后用后台接口慢慢提权。整条链路是通的，只是看人家愿不愿意花时间。

改了哪些地方

先把webshell清了，然后重装了PHP环境。配置文件里的密码全部换成环境变量读取，数据库账号也重新分配了权限，只给必要的增删改查，建表删表的权限一律收回。上传接口改成后端校验，并且把上传目录挪到了web根目录之外，就算传上去了也访问不到。

后台登录加了验证码和IP限流，同一IP五分钟内失败超过十次就锁半小时。顺手把session机制也改了，以前是文件存储，现在换成Redis，顺便解决了多台服务器session不同步的老毛病。首页那段iframe代码删掉之后，又用grep扫了一遍全站文件，确认没有其他残留。

还有个小细节：之前服务器开了目录浏览功能，访问一个没有默认首页的目录会列出所有文件。这个功能平时用着方便，但暴露了太多信息。现在关掉了，每个目录都补了空的index.html。

后续怎么防

光靠事后补救肯定不行。我加了一个定时任务，每天凌晨自动比对核心文件的MD5值，有变动就发邮件告警。服务器日志也接入了简单的分析脚本，像那种凌晨三点来自境外的异常请求，以后会直接触发通知。

另外把后台路径从/admin改成了随机字符串，虽然安全性提升有限，但至少能过滤掉一大批扫描器。数据库那边开了慢查询日志，顺便看看有没有异常的批量操作。

目前网站已经恢复正常运行，百度收录那边也提交了死链清理。这次折腾下来最大的感受是：很多漏洞不是技术不够，是懒。配置文件明文存密码、上传校验只做前端、后台不设限流——这些都不是什么高深的问题，但就是容易忽略。以后每周固定花半小时过一遍日志和文件变动，比出了事再熬夜强。