0列

0行

0分

请输入关键字进行搜索...

修罗

赣ICP备2025068659号-1
powerd by typecho.

站点介绍

只有了解事实才能获得真正的自由

本网站上线3年，今天无意发现webshell后门

修罗 2021-11-18 1362 0条评论 其他

首页 / 正文

目录

无意中打开百度的收录记录，发现竟然有非法收录，点进去会重定向到一个不知道杀猪盘还是裸聊骗钱的网站。这我真的有点忍不了。。

1637214580854.png

回想起19年应该不知道从哪里下的typecho源码就拿来用了，有后门都没发现。坑。。。。。

typecho源码流程

1、进入typecho的入口index.php

1637214888295.png

从第一行代码可以看出要载入config.inc.php

2、于是来到config.inc.php

当我在这行代码之前退出程序，上面的非法跳转就会失败，于是我断定这是个非法载入。

1637215005396.png

pack函数在这里是将16进制转为字符串

即这段代码最终可以翻译为

@include_once("admin/js/i.js")

3、于是我进入i.js这个文件

1637215328345.png

一大推代码中找到执行流程：

  • 实例化一个对象调用run方法

1637215390498.png

  • run方法会调用jump

1637215632828.png

  • jump又调用APP_reg

1637215709742.png

  • 这里发现一个xss注入

1637215782757.png

  • 我们发现这吊东西就是跳转

1637215885799.png

  • 还给我生成一大推垃圾

1637216561295.png

处理完成后，虽然不会非法跳转了，但百度收录一直都有，需要提交死链，我懒得搞了。。

处理下非法收录

下面内容为一天后追加：

404无法访问的网页才能给百度进行死链提交。

1、查看非法收录地址

1637256292125.png

从百度的收录来看，非法地址是带url参数的地址，而我的网站已经url重写，不会有get参数

2、将所有带参数的地址都变成404

1637256385341.png

3、在网站根目录添加死链文件

1637256542243.png

4、提交给百度

1637256592166.png

评论(0)


最新评论

  • 1

    1

  • 1

    1

  • -1' OR 2+158-158-1=0+0+0+1 or 'TKCTZnRa'='

    1

  • 1

    1

  • 1

    1

  • 1

    1

  • 1

    1

  • @@5Qa2D

    1

  • 1

    1

  • 1

    1

日历

2025年11月

日一二三四五六
      1
2345678
9101112131415
16171819202122
23242526272829
30      

标签云

Linux webpack js 算法 MongoDB laravel JAVA jquery javase redis maven idea mysql php vue ajax react css memcache nosql js特效 nodejs nginx

文章目录

推荐关键字： Linux webpack js 算法 MongoDB laravel JAVA jquery javase redis