7.15,網站被入侵,但是直到7月17日,我才發現被入侵。
16日,17日正常更新文章,17日查詢網站收錄數據時,在站長資源平臺【流量與關鍵詞】查詢上,我發現了比較奇怪的關鍵詞。
起初我并沒有在意,以為搜索引擎抽風,也在群里還有一些論壇詢問了這種情況。大部分都是說的編碼的問題。但是我查詢后,編碼是沒有問題的。并且首頁都能正常訪問。
但是直到我利用百度站長資源平臺【抓取診斷】工具,我發現這次問題嚴重了。
頭部全是這種代碼,這也表明網站100%被人入侵了。
查找代碼
然后我查看了一下文件修改記錄,發現 wp-bolg-header.php 這個文件在7月15日被修改過,并且也符合頭部插入上圖超鏈接的條件,點擊進入查看。
上面多了這么一段代碼,起初我不知道這個代碼有什么用,刪除之后,在使用診斷工具,上面的鏈接就沒有了。
然后我根據這個代碼找到服務器 tmp/.ICE-unix 這個目錄,里面存放了命名為 0 的文件。
打開這個文件后是這樣的。
因不懂代碼,看出大概意思可能是當搜索引擎抓取就讓蜘蛛抓取那個網站。(上面加馬賽克的X站鏈接)
收錄劫持確認
經過論壇網友八公子的科普,了解到這個是 劫持收錄
百度收錄抓取快照的時候,其實是快照了這個文件里面網址的內容
所以你的網站有收錄 也是收錄他網址的內容 一般都是一些違法的內容 這玩意 十多年前就有人做了
如果發現類似的文件。 自己查查百度模擬抓取。 如果不是你的網站內容 那你就被劫持快照了。
當確定被入侵之后,我當時唯一想的就是,他是怎么入侵進來的?怎么將這些文件放入服務器的?其他網站有沒有被入侵?(服務器多站,后來查詢,其他網站也被更改。)
安全補救
我的服務器其實是有安裝云鎖,但是因為時間的原因,一直沒有自編譯。當天連夜自編譯云鎖。
擴展閱讀:自編譯教程《云鎖Nginx自編譯教程,Nginx/Tengine ,寶塔云鎖自編譯》
使用云鎖巡航,查詢出一些可疑的文件,來自于在挖魚網下載的 【WP Auto Post】這款采集插件,我猜大概就是這個插件的問題,直接刪掉
隨后聯系了西部數碼的技術人員,輔助我分析網站訪問日志,但是和我猜想的插件問題有些出入,但是西部工作人員的服務確實到位。
經過西部技術員分析,懷疑可能是通過 WordPress REST API 內容注入漏洞Post,這個還需要相關專業人員分析處理。
反思
網站建設這么久了,其實服務器安全策略方面并沒有做到完善,這也是自己的疏忽。云鎖裝在服務器快一年多了,都沒有做過自編譯。
WordPress 安全方面也沒有去深入設置。
導致這次翻車。
這次也導致很多網站停更,全身投入網絡安全維護,畢竟涉及整個服務器的網站。
也在18號左右,SEO排名掉光了??梢娛珍浗俪謱σ粋€網站造成多大的傷害。
雖然譴責黑客竊取勞動成果,但是依然奉勸其積點陰德,不要去搞這些非法的網站了。
另外在后面我還是會繼續寫一些安全防護的問題,完善服務器安全策略。
本文由五車二原創,轉載請注明出處。原文地址:http://www.5che2.com/article/452.html
申請創業報道,分享創業好點子。點擊此處,共同探討創業新機遇!