论坛被攻击？部分文件被修改加载脚本（文件检查） [复制链接] [手机版]

7号晚上访问论坛，速度很慢很慢，老是处于加载转圈圈状态。以为是服务器的问题，也没太在意。呼号信息也没能添加，本地研究在后台添加查询，以避免在添加呼号信息时重复添加。不算太成功，但初步有效果，也许可以更完美些，就像注册时如果用户名已经注册了，会直接提示。我想要的是那样的效果，但实现起来似乎不容易，尽量努力吧。继续说正题。

8号晚上访问论坛，还是很慢，我意识到可能出问题了。通过360极速浏览器的“审查元素”功能（相当于查看源代码，但比那个更好），发现论坛被恶意加载了脚本文件！！！

图片:527.gif

百度那个网址，好像是在138查询，得到如下信息：

图片:528.gif

赶紧ftp连接查看论坛文件，主要是更新时间，因为被修改的文件应该比较新。除了查看文件的更新时间，还有自己猜想最有可能被添加脚本的论坛文件。然后看到在.htaccess文件中有上面图片中提到的网址，这个文件也被修改了？

图片:526.gif

今晚把data目录的php文件加入检查，只是这个文件夹下很多都是缓存文件，自然更新比较频繁，这样就会在自己添加的状态列显示出来。当初，也考虑过这个问题，所以没加入。看看再说吧，再做决定，看到底有没有必要加入。

safefile('data/','\.php');/*程序文件检查20240122*/

虽然我们目前还无法避免文件被修改，但至少我们可以知道哪些文件被修改了。这也算是一点进步吧，起码不是盲目的。

今晚打开论坛，又出问题了！

图片:537.gif

后台以“alibbvod”为关键词检索，没有找到相关文件（拖动鼠标选定目录）。然后就在“程序文件检查”中查看我们自行添加的“状态”列，果然又发现了不少的js文件被修改了！

图片:538.gif

下载回来，对比。确认后覆盖。找空间提供商的客服，结果没有空儿理我（排队中）。百度搜索也没找到解决的参考办法。只能再说吧。

接下来，我们继续主帖说的

本地研究在后台添加查询，以避免在添加呼号信息时重复添加

的问题，再见。

刚刚把后台“状态”列显示为被修改的文件抄在了纸上（大约21个），下载到本地，再和本地备份文件进行对比。除了文件内容完全相同的外，也对本地备份文件进行了同步更新（最近修改的文件）。更新后台时间戳为1668777482，也就是2022-11-18 21:18:02。这是一个新的参考点。此事到此，可以告一段落了。

现在是：
未知文件:2248    文件被修改:1    文件丢失:0

好了，让我们改正错误吧。
未知文件:2601    文件被修改:1    文件丢失:0

再研究mode目录问题。先只统计一种类型的，也就是类似这样的：
safefile('mode/','\.php');
php、htm、html、js分别是510、367、14、57。没错，和软件搜索统计法一样。

准备全部统计下，突然发现代码里似乎有错误：
safefile('mode/','\.js|\.php|\.htm|\.htm|');
最后面怎么是个竖线（应该是“或”的意思）？我去，没仔细检查，写错了（可能是复制错了），难怪。 改为“l”，后台统计948，就是吧，就是这样子的。打字到这里，自己都不禁笑了，真是一个美丽的错误。

zhangjingyu 那要不要把shtml文件也加进去呢？ (2022-11-17 22:19)  查看本帖 

safefile('./','\.php|\.html|\.htm|\.shtml',0);
本地测试通过，5个shtml也显示了。