实战｜页面篡改安全事件应急流程

Linux系统下：

2.2.2网页文件

通过现有的网页文件进行查看源代码是否包含违法违规与网页不相干的内容辨别网页是否被篡改，若看不出是否存在篡改询问相关管理人员在篡改发生前是否有备份文件，再对新旧文件的源代码进行内容对比判断网页是否被篡改。

Windows系统下：

Linux系统下：

值得注意的是网页篡改不一定发在网页文件当中黑客可能通过修改web容器的配置进行篡改、劫持、跳转等操作，若找不到被篡改的内容可对webserver等中间件容器的配置进行检查（案例： https://forum.butian.net/share/836），排查配置文件是否在安全事件发生期间有过改动，常见的中间件容器配置如下：Apache: http.conf、Tomcat: web.xml、IIS: web.config、Nginx：nginx.conf、PHP：php.ini。

2.3后门查杀与工具推荐

类似发生网页篡改类安全事件，绝大部分黑客已经拿到了网站的一定控制权，一般网页类后门俗称webshell分为一句话、小马、大马、内存马，这时我们要对webshell进行查杀清除以防黑客进一步的攻击。

Windows系统下：

D盾：不分扩展名的代码分析引擎，能分析更为隐藏的WebShell后门行为，其规则库强大扫描速度快，使用方法点击选择目录选择web的根目录扫描即可，下载地址： http://www.d99net.net/。

Linux系统下：

河马查杀：针对于Linux环境下的webshell查杀，拥有海量webshell样本和自主查杀技术，采用传统特征+云端大数据双引擎的查杀技术，查杀速度快、精度高、误报低，进入河马工具目录使用命令./hm -h查看具体的查杀指令，下载地址： https://www.shellpub.com/。

在线查杀webshell地址：

百度WEBDIR+，下一代WebShell检测引擎，采用先进的动态监测技术，结合多种引擎零规则查杀，地址： https://scanner.baidu.com/。

Web Shell Detector具有“ Webshell”签名数据库，可帮助识别高达99％的“ Webshell”，地址： http://www.shelldetector.com/。

深度学习模型检测PHP Webshell，地址： http://webshell.cdxy.me/。

若客户业务环境不允许上传工具到服务器进行查杀，可将整个网站文件打包后下载至本地在使用工具进行查杀或者上传至线上查杀，值得注意的是，当在拷贝整站源码文件的时候如果对方客户使用的是虚拟主机空间上传下载都需要FTP来操作，直接将源码文件下载下来的话文件的修改时间会变成当天的下载时间这样对后面的溯源分析带来很大的困难，需要在面板将源码文件都打包成一个压缩包在将其下载下来。

2.4所需提取的材料

样本的材料提取对后续安全事件的溯源分析起到了至关重要的作用，所需要做的工作内容是首先将被篡改的页面截图下来，篡改的页面文件最后的修改时间也需要截图，工具所扫出来的后门和最早被上传的后门也需要截图，需要相关管理人员配合将网站整站打包、系统日志、中间件日志拷回，必要时可要求对方将整个系统镜像拷贝：

Windows系统日志：控制面板>管理工具>事件查看器>Windows日志。

Linux系统日志：cd /var/log

各个中间件日志的默认路径：

内容全面、形式新颖、实用性强，本书详细讲解了无源器件（电阻+电容+电感）的“前世今生”，通过问答的新颖形式，解决了“为什么要用”、“如何用”、“用哪种”等诸多问题，深入浅出、浅显易懂，且通过丰富的实例来剖析枯燥的原理，非常适合广大高校学生和电路设计相关工作的工程师阅读学习！