安全设置六：利用伪静态功能禁止以下目录运行php脚本
① linux主机的用户一般都是apache环境，使用 .htaccess 文件来设置，如果你网站根目录已经存在这个文件，那就复制一下代码添加进去。
RewriteEngine on #安全设置 禁止以下目录运行指定php脚本 RewriteCond % !^$ RewriteRule a/(.*).(php)$ – [F] RewriteRule data/(.*).(php)$ – [F] RewriteRule templets/(.*).(php|htm)$ – [F] RewriteRule uploads/(.*).(php)$ – [F] |
②：windows主机的用户一般都是iis7、iis8环境，使用 web.config 文件来设置，请确认你的主机已经开启了伪静态而且网站根目录有 web.config 文件，有这个文件的可以复制以下代码添加到对应的rules内。
<rule name="Block data" stopProcessing="true">
<match url="^data/(.*).php$" />
<conditions logicalGrouping="MatchAny">
<add input="{USER_AGENT}" pattern="data" />
<add input="{REMOTE_ADDR}" pattern="" />
</conditions>
<action type="AbortRequest" />
</rule>
<rule name="Block templets" stopProcessing="true">
<match url="^templets/(.*).php$" />
<conditions logicalGrouping="MatchAny">
<add input="{USER_AGENT}" pattern="templets" />
<add input="{REMOTE_ADDR}" pattern="" />
</conditions>
<action type="AbortRequest" />
</rule>
<rule name="Block SomeRobot" stopProcessing="true">
<match url="^uploads/(.*).php$" />
<conditions logicalGrouping="MatchAny">
<add input="{USER_AGENT}" pattern="SomeRobot" />
<add input="{REMOTE_ADDR}" pattern="" />
</conditions>
<action type="AbortRequest" />
</rule>
|
③：Nginx下禁止指定目录运行PHP脚本
注意:这段配置文件一定要放在 location ~ .php(.*)$ 的前面才可以生效，配置完后记得重启Nginx生效。
location ~* /(a|data|templets|uploads)/(.*).(php)$ {
return 403;
}
|
测试有没有生效，可以随便创建一个PHP文件传到uploads文件夹下，执行：域名/uploads/测试文件.php 如果不能打开说明生效。
安全知识七：常见木马文件
迄今为止，我们发现的恶意脚本文件有：
1：检查有无/data/cache/t.php 、/data/cache/x.php和/plus/index.php 这些木马文件,有的话则立即删除
2：plus 目录木马
plus/90sec.php plus/ac.php plus/config_s.php plus/config_bak.php plus/diy.php (系统文件) plus/ii.php plus/lndex.php data/cache/t.php data/cache/x.php data/cache/mytag-*.htm data/config.php data/cache/config_user.php data/config_func.php include/taglib/shell.lib.php include/taglib/*.lib.php |
大多数被上传的脚本集中在plus、data、data/cache、include这几个目录下，请仔细检查这几个目录下最近是否有被上传异常文件。
推荐D盾—WEB查看工具：
软件使用自行研发不分扩展名的代码分析引擎，能分析更为隐藏的WebShell后门行为。
引擎特别针对,一句话后门，变量函数后门，${}执行 ，`执行，
preg_replace执行,call_user_func,file_put_contents,fputs 等特殊函数
的参数进行针对性的识别，能查杀更为隐藏的后门，
并把可疑的参数信息展现在你面前，让你能更快速的了解后门的情况
新版特别针对 dedecms 的{dede:php}{/dede:php}代码加入了识别！
软件加入隔离功能，并且可以还原！
如有不能识别的webshell请使用上传样本功能上传给我们，我们将后期加入识别!
下载：http://www.d99net.net/down/WebShellKill_V1.4.1.zip
更新于2020-01-01，后期有更新，将会持续更新本文
发表评论
评论列表（条）