网页紧急自动转跳(网页紧急自动转跳中页面紧急升级)

一个周五的晚上，我舒适地躺在沙发上，《王者荣耀》和《米莱蒂》正在开心地偷塔。突然，一个电话打了进来，当我看到老板时，我有一种不祥的预感:看来这场比赛不能善终了，我的兄弟们很抱歉。

果不其然，事情是这样的:某机构运行多年的大型门户网站突然发现挂马病毒现象，页面会自动跳转到带有颜色的网站。某机构的大领导非常生气，影响非常恶劣，要求不惜任何代价恢复正常。

我挂了电话，登上微信，发现自己被拉进了交流群。群里已经炸了，大领导很生气。幸运的是，这个网站不是我们团队开发的。据说负责开发的团队已经调查了一段时间，但没有任何进展。

为网站清除特洛伊病毒有这么难吗？

我问对方要了服务器管理账号的密码，发现这个服务器的安全等级真的够高。我需要挂VPN，然后登录堡垒机器，最后我可以进入服务器。服务器的安全级别已经这么高了，网站还是可以挂的。看来漏洞一定在网站的源代码中。

再看服务器环境，是Windows系统+IIS7+PHP的组合。

然后问题又出现了，具体跳转情况如下:用搜索引擎搜索网站的关键词，在搜索结果中输入网站，然后网站被重定向到一个彩色的垃圾网站；直接在浏览器地址栏输入网址，不跳转即可正常访问；

以下是一个彩色网站的截图:

很奇怪，只有从搜索引擎的搜索结果中访问网站才能自动跳转。

根据之前的调查经验，既然会自动跳转到其他网站，那么一定是在源代码中添加了跳转代码，可能对访问来源做了一些判断，只有搜索引擎的访客才能跳转。

反正既然能跳，跳码里肯定有垃圾站的域名。我们先全局搜索一下垃圾站的域名。

把整个门户网站的源代码下载到本地才敢随意折腾。好家伙，这个门户运行了近十年，源代码压缩到20G，有点吓人。按照这个服务器5M的带宽，恐怕要下载到永恒了。所以对代码结构的简单研究排除了一些图片上传目录，只留下了几百兆，最终在很长时间后下载完成。

用代码编辑器打开项目，发现网站是用已经绝迹多年的小众CMS系统开发的。网上搜索了很多关于这款CMS的信息，我不了解这么多优秀的开源CMS，所以我必须使用这款。

不管有多少，直接全球搜索垃圾网站域名，当然什么也没找到。在这种情况下，黑客肯定对域名进行了加密或编码，最常见的是Base64，因此将域名编码为Base64并继续搜索，但仍然一无所获。

然后我搜遍了很多不良网站的关键词，一无所获。

看来这个黑客不是什么善茬。

最后，我不得不使用愚蠢的方法:检查每个文件。

通常黑客植入的病毒代码是由工具自动编写的，代码的编写风格会与网站的原始风格格格不入，如缩进、变量命名规范、文件命名格式等。，所以很有可能找到一个又一个文件。

总之，我终于在缓存目录中发现了一个异常文件。

这个11.php太引人注目了。

以URL的形式访问这个11.php。打开后，它看起来像这样:

现在我看到了希望，这是一款功能齐全的远程操作工具。有了这个，不仅网站代码可以随便更改，甚至服务器也可以随意操纵。

围绕这条线索，发现了许多病毒文件，并将其全部清除。

按照这个进度，我今晚应该能有几轮米拉迪，我的心开始变得美丽了。

但是，再次测试后，网站仍然自动跳转到垃圾站！

是浏览器缓存问题吗？清除浏览器缓存，问题仍然存在。

是服务器缓存问题吗？清理服务器缓存，重新启动IIS，问题仍然存在。

我震惊了。

然后整个团队又骂骂咧咧的看了一遍所有的网站文件，真的没有病毒代码。

代码是干净的，不可能再次跳转，但事实就摆在我们面前。

不管有多不可思议，虽然我已经忙了很久，但我最终不得不承认，跳转到垃圾站的不是网站的源代码。

既然不是源代码问题，那肯定是IIS问题。是301重定向吗？

打开重定向面板，发现什么都没有配置，然后检查web.config，没有异常。

在这种情况下，只需删除现有的网站服务，重新创建应用程序池，重新绑定域名和目录，在一次操作后再次访问网站，仍然会跳转到垃圾站！

这个时候我的内心是绝望的，所以我今晚不想睡觉。

然而，那句话是怎么说的:

“只要努力，就有希望。”

“我们现在面临的问题可能正在好转。”

当我再次重启网站时，IIS突然报告了一个错误:

HttpResetModule.dll，为什么我没见过这东西？网上查了一下没看到这个东西的介绍。最后，我大胆地怀疑这个东西是不是不应该存在。

为了早点睡觉，我打算把这个模块删掉看看。

进入IIS模块管理:

在列表中找到HttpResetModule，删除它！

顺利删除了，然后又测试了一遍。网站没有跳转到垃圾站！

天啊。黑客居然做到了这一步！

到这里我才完全明白，黑客实际上改造了IIS，对方用power lifting工具获得了服务器控制权限，然后在IIS中添加了一个额外的重定向模块，并在网站中植入了如此多的特洛伊病毒文件作为烟雾弹。真正的凶手实际上在IIS模块中，而且黑客的个子真的很高。

看来这个服务器环境完全不安全，重装系统是必然的。另外，这个网站是用CMS系统开发的，漏洞太多，重建是必然的，否则再次被入侵只是时间问题。这与我们的团队无关。

简而言之，清除特洛伊病毒的难度仍然相对较高。虽然我很累，但我觉得很充实。最后把结果发到领导群里，表扬的话都跳过了。