距離2022年元旦約越來越近，我們發現很多網站用IIS環境尤其是aspx+sqlserver架構的網站總是被攻擊，具體癥狀首先是接到阿里云的通知說是有違規URL通知，然后過了幾天發現百度site網站域名，多了很多與網站本身內容不相關的垃圾快照內容，從百度點擊這個快照地址進去后顯示404找不到頁面，但從百度站長工具里抓取頁面就能看到內容，說明攻擊者對搜索引擎的UA標識做了判斷進行混淆，導致從肉眼看不出任何問題，但快照依然在繼續增加新收錄。
了解完上述過程，完全是近期多個客戶遇到此網站被劫持攻擊的癥狀找到我們SINESAFE網站安全公司來尋求幫助，解決這個反復被攻擊以及摸不到頭緒的安全問題，那么首先咱們來分析下為何網站會被攻擊，因為網站本身的程序代碼存在漏洞，比如上傳漏洞，跨站漏洞，SQL注入漏洞等，以及客戶用的是單獨服務器像WIN2008系統或windows2012,2016,2019,環境基本都是IIS7,8,10，SQLSERVER用的是sql2008 sql2012等，基本很大的因素是服務器內存在多個網站，都是些asp+aspx+sqlserver的混合架構，由于網站目錄權限沒有劃分好，導致其中一個網站被入侵，直接牽連服務器內的其他網站，本身ASPX的訪問權限就比較大，加上很多人愿意用SQLSERVER的SA用戶去調用數據庫的連接，直接給黑客提供了提權的機會，提權就是黑客通過權限大的用戶進行提升權限從而拿到服務器權限，很多程序員也束手無策，畢竟專業的事情專業干，還得需要我們專業的網站安全公司來處理解決，接下來我會把整個處理過程簡單描述下，從而讓更多的網站負責人了解到網站為何會被攻擊。
前幾天的一位客戶由于之前就聯系我們咨詢過網站被攻擊劫持的問題，而客戶覺得自己的技術能解決掉，就沒把這個安全問題當回事，以為重做系統就沒事了，穩定了1個多月后又被攻擊，沒辦法才讓我們對網站安全進行處理，我們接到客戶的服務器信息后，登錄服務器進行了檢查，發現系統用戶被增加了多個隱藏賬戶，而且網站目錄下有很多隱藏文件，肉眼是看不到的，必須在CMD下顯示所有文件才能看到，通過我們技術的查找對多個后門進行了處理，發現Dooad.ashx Dowmload.ashx Down.ashx servicer.aspx文件內容中被增加了一些上傳功能的代碼：
直接訪問是會顯示404提示，如果是對文件參數加上?dir=Dick 就會出現上傳頁面，這聰明的手法是真的很溜。那么了解到這些后門木馬后，就要想想黑客是從哪里上傳進來的，通過我們的人工代碼安全審計，發現后臺目錄manage是默認的管理后臺的目錄，存在越權登錄，添加附件這里存在后綴變量覆蓋，導致直接可以上傳ASPX格式或ashx格式的木馬文件，從而上傳后對服務器進行了提權，對網站目錄下增加了global.asa等隱藏文件而且還是刪除不掉的文件。我們立即對網站目錄進行了切換，從而擺脫了刪除不掉的文件，此global.asa就是用來劫持百度收錄的后門文件。這樣下來后網站恢復了正常訪問，模擬抓取也顯示正常了
然后阿里云違規url通知那里還得需要去申請解除屏蔽，要不然不申請的話達到多少條后會被屏蔽域名，導致網站無法訪問，百度站長工具提交死鏈也得需要網站必須是404狀態的頁面才能清除掉這些收錄的惡意快照內容。一定要多個方面去分析問題，切不可盲目處理，否則越拖越嚴重。
