早上刚上班就有新客户咨询我们Sinesafe安全公司反映说收到一条阿里云的短信过来，内容为：网站木马文件提醒018-06-20 09:20:49尊敬的***网：您的虚拟主机中有文件触发了安全防护报警规则，可能存在webshell网页木马，您可以登录虚拟主机控制台-对应主机的"管理"文件管理-网站木马查杀功能确认是否为恶意文件，相关帮助文档请参考网站木马查杀帮助。具体存在挂马的主机列表如下：IP地址域名
答案：“木马”全称是“特洛伊木马(Trojan Horse)”，原指古希腊士兵藏在木马内进入敌方城市从而占领敌方城市的故事。在Internet上，“特洛伊木马”指一些程序设计人员在其可从网络上下载(Download)的应用程序或游戏中，包含了可以控制用户的计算机系统的程序，可能造成用户的系统被破坏甚至瘫痪。
最近抽空又看了下最新网站安全狗IIS版，测试了以下一些在实战中能用的绕过方式，现在是通过本地和云端网马引擎来进行查杀和拦截。
有时候我们在做攻防对抗时经常会碰到可以上传webshell的地方，但是经常会被安全狗、D盾、护卫神、云锁等安全软件查杀，在本篇文章中将会介绍一些常用的木马免杀技巧，主要针对安全狗、护卫神、D盾进行免杀~
webshell是一种可以在web服务器上执行后台脚本或者命令的后门，黑客通过入侵网站上传webshell后获得服务器的执行操作权限，比如执行系统命令、窃取用户数据、删除web页面、修改主页等，其危害不言而喻。而WebShell扫描检测工具可辅助查出该后门。
如果服务器出现文件上传漏洞和命令执行类漏洞（包括命令注入、缓冲区溢出、反序列化等）都会让人担心，系统是否系统已被上传webshell甚至植入木马程序。
比较常见的有：网络黑产、外部黑客、竞争对手、安全漏洞、网络攻击、数据泄露、敏感信息泄露等。
从字面上理解，”Web”指需要服务器开放Web服务，”shell”指取得对服务器的某种程度的操作权限。Webshell指匿名用户（入侵者）通过网站端口，获取网站服务器的一定操作权限。
何为一句话木马？他跟其他木马有什么区别吗？ 一句话木马的叫法是来自他代码结构简单，简单到什么地步？最简单的一句话木马甚至可以就一句代码就结束了，比如经典PHP一句话:<?php @eval($_POS
我们最近遇到一个安卓平台的网银木马，该木马主要瞄向中国的移动用户，检出率很低。该安卓木马能够拦截短信并寻找特定的关键字，盗取用户网银信息。此外，它还会从用户的移动设备中盗取所有的联系人信息，并将其发送到远程服务器。 木马相关信息 名字：888.apk MD5：ff081c1400a948f2bcc4952fed2c818b。 VT：7/56 (分析该木马时) 样本：点我下载 木马功能： 1、拦截和捕获所有接收和发出的短信 2、拦截来电和结束通话的功能 3、通过短信接收C&C服务器指令 4、将盗取的数据通
在互联网中，会潜在各种各样对企业网站、数据信息、服务器等造成威胁的脚本、代码漏洞、木马、病毒等程序。最终给网络犯罪分子钻空子的机会，以此来获取利益。今天一个小哥哥给我讲说他这两天处理的一个案例。关于攻击者利用上传Webshell到网站实施的攻击。
Webshell是黑客经常使用的一种恶意脚本，其目的是获得服务器的执行操作权限，常见的webshell编写语言为asp、jsp和php。
作者：北门喂猫 来源： http://www.freebuf.com/articles/web/131350.html Webshell一直都是网站管理员痛恨看到的东西，一旦在网站目录里看到了陌生的webshell基本说明网站已经被攻击者拿下了。站在攻击者的角度，要想渗透一台网站服务器，第一个目标也是想方设法的寻找漏洞上传webshell。 对于webshell的防护通常基于两点：一是在攻击者上传和访问时通过特征匹配进行检测拦截或限制文件类型阻止上传；二就是日常基于we
1.肉鸡： 所谓“肉鸡”是一种很形象的比喻，比喻那些可以随意被我们控制的电脑，对方可以是WINDOWS系统，也可以是UNIX/LINUX系统，可以是普通的个人电脑，也可以是大型的服务器，我们可以象操作自己的电脑那样来操作它们，而不被对方所发觉。 2.木马： 就是那些表面上伪装成了正常的程序，但是当这些被程序运行时，就会获取系统的整个控制权限。有很多黑客就是热中与使用木马程序来控制别人的电脑，比如灰鸽子，黑洞，PcShare等等。 3.网页木马： 表面上伪装成普通的网页文件或是将而
1.肉鸡： 所谓“肉鸡”是一种很形象的比喻，比喻那些可以随意被我们控制的电脑，对方可以是WINDOWS系统，也可以是UNIX/LINUX系统，可以是普通的个人电脑，也可以是大型的服务器，我们可以象操作自己的电脑那样来操作它们，而不被对方所发觉。 2.木马： 就是那些表面上伪装成了正常的程序，但是当这些被程序运行时，就会获取系统的整个控制权限。有很多黑客就是热中与使用木马程序来控制别人的电脑，比如灰鸽子，黑洞，PcShare等等。 3.网页木马： 表面上伪装成普通的网页文件或是将而已
主机安全（Cloud Workload Protection，CWP）基于腾讯安全积累的海量威胁数据，利用机器学习为用户提供资产管理、木马文件查杀、黑客入侵检测、漏洞风险预警及安全基线等安全防护服务，解决当前服务器面临的主要网络安全风险，帮助企业构建服务器安全防护体系。现支持用户腾讯云外服务器统一进行安全防护，轻松共享腾讯云端安全情报，让私有数据中心拥有云上同等级别的安全体验。
当企业发生黑客入侵、系统崩溃或其它影响业务正常运行的安全事件时，急需第一时间进行处理，使企业的网络信息系统在最短时间内恢复正常工作，进一步查找入侵来源，还原入侵事故过程，同时给出解决方案与防范措施，为企业挽回或减少经济损失。
我们在渗透测试过程中时常会用到一些脚本，而现在大部分的WAF或杀软都会根据一些危险组件名、特定字符做为特征来查杀，只要找到其特征，我们可以使用简单的混淆、拼接等方式来进行免杀。
收到阿里云的短信提醒说是网站存在后门，webshell恶意通信行为，紧急的安全情况，我第一时间登录阿里云查看详情，点开云盾动态感知，查看了网站木马的详细路径以及webshell的特征，网站从来没有出现过这种情况，一脸懵逼，无奈询问度娘吧，百度搜索了什么是webshell,为了解决这个问题，我可是下了很大的功夫，终于了解清楚并解决了阿里云提示网站后门的这个问题，记录一下我解决问题的过程。
1.加壳：是一种通过一系列数学运算，将可执行程序文件（EXE）或动态链接库文件（DLL）的编码进行改变（目前加壳软件还可以压缩、加密），以达到缩小文件体积或加密程序编码的目的。当被加壳的程序运行时，外壳程序先被执行，然后由这个外壳程序负责将用户原有的程序在内存中解压缩，并把控制权交还给脱壳后的真正程序。 2.常见到的压缩壳有“UPX”、“北斗程序压缩”、“ASPack”等，加密壳有“PE-Armor”、“ASProtect”等等。
virus.win32.parite.H病毒的查杀方法
2007年，有一款电脑病毒席卷大江南北，无论是个人还是企事业单位，电脑纷纷中招，网络一度瘫痪。
前言 很多时候，杀毒软件都会对一个可执行程序的数字签名进行验证，而每个数字签名都配对着该可执行程序的Hash值，以防其它程序盗用这个软件的独有的数字签名，如下图所示： 早期的杀毒软件主要是通过软件的特
文件上传漏洞是web安全中经常用到的一种漏洞形式。是对数据与代码分离原则的一种攻击。上传漏洞顾名思义，就是攻击者上传了一个可执行文件如木马，病毒，恶意脚本，WebShell等到服务器执行，并最终获得网站控制权限的高危漏洞。
当文件上传点未对上传的文件进行严格的验证和过滤时，就容易造成任意文件上传，包括上传动态文件，如asp/php/jsp等。如果上传的目录没有限制执行权限，导致上传的动态文件可以正常执行并可以访问，即存在上传漏洞的必要条件是：
一般的，利用能够执行系统命令、加载代码的函数，或者组合一些普通函数，完成一些高级间谍功能的网站后门的脚本，叫做 Webshell。
方法二：修改注册表，（注意修改注册表前一定要先备份一下注册表，备份方法。在 运行>regedit，选择 文件》导出 ，取个文件名，导出即可，如果修改注册表失败，可以找到导出的注册表文件双击运行即可。） HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesLanmanServerParameters 新建 “DWORD值”值名为 “AutoShareServer” 数据值为“0”
2021年1月6日下午的16点左右，本来还要在摸两个点的鱼就可以飞法法的下班了，照例下班前把安全设备都看了一遍，一刷新系统蹦出几条某某大学下的大量二级域名网站被篡改的告警，随后经过人工验证所有告警的二级网址均存在被篡改页面,并随即报告给了值班客户，随后应客户要求兴(hao)高(bu)采(qing)烈(yuan)地到了现场做应急处置，至于为什么称之为诡异请看下述分析。
vs前缀代表默认编译器，intel前缀代表intel c++编译；test代表简单木马，test1代表更复杂木马；invalid代表无效签名，signed代表sigthief签名窃取，signeds有效签名。
WAF绕过 安全狗绕过 1.绕过思路：对文件的内容，数据。数据包进行处理。 关键点在这里Content-Disposition: form-data; name="file"; filename="ian.php" 将form-data; 修改为~form-data; 2.通过替换大小写来进行绕过 Content-Disposition: form-data; name="file"; filename="yjh.php" Content-Type: application/octet
随着安全防护技术水平的提高以及安全设备对攻击行为检测能力的提升，传统WEB攻击手段越来越难以有效突破防守单位的高强度防守。钓鱼攻击逐渐受到红队的重视。与传统的攻击手段相比，钓鱼攻击成功率高，往往能达到较好的攻击效果。
免杀，又叫免杀毒技术，是反病毒，反间谍的对立面，是一种能使病毒或木马免于被杀毒软件查杀的软件。它除了使病毒木马免于被查杀外，还可以扩增病毒木马的功能，改变病毒木马的行为。免杀的基本特征是破坏特征，有可能是行为特征，只要破坏了病毒与木马所固有的特征，并保证其原有功能没有改变，一次免杀就能完成了。免杀技术也并不是十恶不赦的，例如，在软件保护所用的加密产品（比如壳）中，有一些会被杀毒软件认为是木马病毒；一些安全领域中的部分安全检测产品，也会被杀毒软件误杀，这时就需要免杀技术来应对这些不稳定因素。
最近收到一位客户的反馈，告知网站又被挂马，（织梦程序真让人头疼总是被挂马,dedecms经常是被挂马真晕了是的~）相信站长们都有遇到过网站被挂马或代码恶意植入的问题。下面把处理流程写下来，帮助大家了解并简单处理的过程。
攻击者通过各种手段将挖矿程序植入受害者的计算机中，在受害者不知情的情况下利用其计算机的云算力进行挖矿，从而获取利益，这类非法植入用户计算机的挖矿程序就是挖矿木马。
本文介绍了黑客在网络上的攻击行为，包括利用XSS漏洞、SQL注入、社会工程学、DDoS攻击、WAP入侵等，以及黑客们所采用的技术和工具。文章还介绍了针对这些攻击的检测和防护方法，并给出了相应的建议。
木马（Trojan）,也称木马病毒，是指通过特定的程序（木马程序）来控制另一台计算机。木马通常有两个可执行程序：一个是控制端，另一个是被控制端。木马这个名字来源于古希腊传说（荷马史诗中木马计的故事，Trojan一词的特洛伊木马本意是特洛伊的，即代指特洛伊木马，也就是木马计的故事）。“木马”程序是目前比较流行的病毒文件，与一般的病毒不同，它不会自我繁殖，也并不“刻意”地去感染其他文件，它通过将自身伪装吸引用户下载执行，向施种木马者提供打开被种主机的门户，使施种者可以任意毁坏、窃取被种者的文件，甚至远程操控被种主机。木马病毒的产生严重危害着现代网络的安全运行。
腾讯TAV反病毒引擎是腾讯安全的自研引擎，最初应用在腾讯电脑管家中检测清除病毒木马，支持腾讯电脑管家取得过一系列国际评测的优异成绩。年龄超过11岁的TAV反病毒引擎始终 坚持与时俱进不断创新，致力于解决全新的安全课题。今天要讲的，就是腾讯TAV引擎对抗新型恶意程序WebShell的故事。
顾名思义，“web”的含义是显然需要服务器开放web服务，“shell”的含义是取得对服务器某种程度上操作权限。webshell常常被称为入侵者通过网站端口对网站服务器的某种程度上操作的权限。由于webshell其大多是以动态脚本的形式出现，也有人称之为网站的后门工具。
最近的恰饭文有点多，是时候该分享些东西了，等以后有空了再整理下其他WAF的绕过系列分享给大家，感谢大家的理解和支持，抱拳！
新型挖矿木马来了！近日，腾讯安全威胁情报中心检测到针对MSSQL服务器攻击的挖矿木马，该挖矿木马主要针对MSSQL服务进行爆破弱口令攻击，爆破成功后会植入门罗币挖矿木马进行挖矿。据腾讯安全评估，截止目前已有上万台服务器沦为门罗币矿机。对此，腾讯安全专家提醒企业应避免使用弱口令。同时，腾讯安全终端安全管理系统已可拦截查杀该挖矿木马。
所谓“肉鸡”是一种很形象的比喻，比喻那些可以随意被我们控制的电脑，对方可以是WINDOWS系统，也可以是UNIX/LINUX系统，可以是普通的个人电脑，也可以是大型的服务器，我们可以象操作自己的电脑那样来操作它们，而不被对方所发觉。
很多刚入门的小白对文章或大佬提到一些网络安全术语一头雾水，今天给大家分享一些常见的网络安全术语。
每天都有人问我，黑客是什么，黑客有什么术语，或者遇到黑客，我应该怎么做，我在这里也给感兴趣的朋友普及一点小知识，黑客有很多的术语，下面我会给大家介绍黑客经常用到的术语，同时也给感兴趣的朋友普及一些有关黑客的知识，以及学会保护自已的防火墙。 木马：就是那些表面上伪装成了正常的程序，但是当这些被程序运行时，就会获取系统的整个控制权限。有很多黑客就是热中与使用木马程序来控制别人的电脑，比如灰鸽子，黑洞，PcShare等等。 网页木马：表面上伪装成普通的网页文件或是将而已的代码直接插入到正常的网页文件中，当有人访问
服务器安全狗是一款服务器安全防护软件，服务器安全一直是我们不可忽视的运维工作之一，它对于VPS、云主机等虚拟主机产品来说还是比较好用的。不过在你不是很熟悉安全狗的情况，不建议使用，因为处理不好，容易出现很多问题的。详细的，你了解清楚之后才去使用。还有使用的时候，开启安全策略时千万别把远程管理端口给屏蔽了。有很多功能，例如在线备份数据、定时执行任务、服云PC客户端时时监控服务器状态。DOS防护功能是其中一个非常重要的功能，要把DDOS防火墙设置好就显得非常的重要，如果设置不好的话，很容易被别人攻击，现在服务器安全狗已经能够很好的拦截了对方的DDOS攻击。世界没有绝对的安全系统，只要操作得当，保持良好习惯，再加上这款软件，安全是有得保障的。
权限维持是一门庞大的学问，当攻击者在入侵服务器获得主机权限后，往往会想尽办法隐藏其入侵途径以维持权限。权限维持的一般手段包括构造文件包含漏洞、构造远程任意代码执行漏洞、构造SQL注入点、利用系统自启动后门和隐藏 Webshell等。本文介绍如何利用ADS数据流隐藏Webshell，以及如何利用iGuard防御ADS。
1.2、密码盗取木马:通过记录用户输入的键盘记录或屏幕截图方式窃取用户的密码或账号信息;
掩日免杀是一个非常优秀的项目，目前在4月19号已经更新，更新的变动较大，支持的种类更多，在这里再试试现在的效果如何： https://github.com/1y0n/av_evasion_tool/
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
对象存储
即时通信 IM
