如何解決Discuz掛馬問(wèn)題

杰瑞科技-插件

一、網(wǎng)站被掛馬的危害

• 用戶信息泄露
• 服務(wù)器性能被盜用
• SEO劫持
• 快照劫持
• 權(quán)重下降
• 站內(nèi)暗鏈
• 瀏覽器礦機(jī)或頁(yè)面掛馬
  

二、如何解決網(wǎng)站掛馬

• 使用復(fù)雜FTP用戶名和密碼，避開(kāi)默認(rèn)21端口
• 使用復(fù)雜服務(wù)器登錄名和密碼，Windows系統(tǒng)遠(yuǎn)程桌面避開(kāi)默認(rèn)3389端口，Linux系統(tǒng)遠(yuǎn)程SSH避開(kāi)默認(rèn)22端口
• 安裝安全軟件、網(wǎng)站文件監(jiān)控等
• 經(jīng)常更改各種密碼
• 不要隨意信任所謂“免費(fèi)技術(shù)維護(hù)人員”
• 不要使用盜版模板、插件
• 設(shè)置正確的目錄權(quán)限
  

三、解決網(wǎng)站掛馬時(shí)容易遇到的問(wèn)題

• (二)-(3)中提到安全軟件或文件監(jiān)控的問(wèn)題，實(shí)際使用中，安全軟件會(huì)將Discuz系統(tǒng)文件誤判為木馬文件并進(jìn)行刪除，因?yàn)榘踩浖H單純識(shí)別關(guān)鍵代碼函數(shù)，Discuz系統(tǒng)文件中部分功能也使用了同樣的函數(shù)執(zhí)行正常操作所以會(huì)被誤殺，函數(shù)本身無(wú)害，卻是雙刃劍，Discuz用來(lái)執(zhí)行合法操作，黑客卻用來(lái)注入網(wǎng)站，且安全軟件幾乎無(wú)法識(shí)別變形過(guò)的木馬代碼，如：$a='e'.'va'.'l';$a($_GET['cmd']);，文件監(jiān)控防篡改可能導(dǎo)致出現(xiàn)插件無(wú)法更新、緩存無(wú)法更新甚至用戶頭像無(wú)法更新的問(wèn)題。
• (二)-(1)、(2)、(3)、(7)中提到的內(nèi)容是獨(dú)立服務(wù)器、云服務(wù)器或VPS的操作，大部分站長(zhǎng)使用虛擬主機(jī)架設(shè)網(wǎng)站，無(wú)法更改這些設(shè)置
  

四、如何解決這些問(wèn)題
    首先需要清楚木馬來(lái)源，Discuz系統(tǒng)下除FTP密碼、服務(wù)器遠(yuǎn)程密碼泄露外，木馬還可能的來(lái)源途徑常常為：

• 利用圖片上傳時(shí)上傳圖片PHP一句話
• 利用頭像上傳時(shí)上傳圖片PHP一句話
• 利用各種插件的上傳功能上傳圖片PHP一句話木馬
• 插件上傳未做嚴(yán)格過(guò)濾的情況下直接上傳php文件
• 盜版插件盜版模板中的圖片或php文件被盜版商修改為木馬文件
• 安裝在非正規(guī)下載站下載被不法分子修改過(guò)的Discuz論壇主程序
  

    想解決此來(lái)源需要正確設(shè)置用戶可上傳的文件夾（如附件文件夾、頭像文件夾、插件設(shè)置的上傳目錄等）的權(quán)限，設(shè)置這些文件夾禁止執(zhí)行任何PHP以及拒絕使用任何盜版插件模板
    或安裝本人開(kāi)發(fā)的“防用戶上傳圖片木馬”(https://addon.dismall.com/?@saya_antitrojan.plugin)、“頭像審核”(https://addon.dismall.com/?@saya_avatarverify.plugin)、“文件安全檢測(cè)”(https://addon.dismall.com/?@saya_scan.plugin)
    其中“防用戶上傳圖片木馬”可以防止用戶在論壇、門(mén)戶、相冊(cè)上傳圖片時(shí)上傳圖片木馬，且后臺(tái)會(huì)有攔截記錄，截圖如下


    其中“頭像審核”可攔截用戶上傳頭像，防止用戶使用違規(guī)圖片作為頭像或上傳圖片木馬，截圖如下


    其中“文件安全檢測(cè)”可掃描Discuz內(nèi)全部文件，識(shí)別可疑代碼或一句話木馬，甚至匿名函數(shù)、變量名函數(shù)的一句話木馬，截圖如下

歡迎前往應(yīng)用中心選購(gòu)，為您的論壇保駕護(hù)航

杰瑞科技

點(diǎn)擊左側(cè)本人頭像下的“查看TA的應(yīng)用”可進(jìn)入開(kāi)放平臺(tái)中查看我開(kāi)發(fā)的插件

xilushequ

申請(qǐng)HTTPS

xilushequ

配置ssl證書(shū)

aaron

謝謝，收藏了

兔月大大

哦                     

Failure

這波廣告給你100婚。

杰瑞科技

Failure 發(fā)表于 2019-8-25 00:12
這波廣告給你100婚。

98婚就好，我怕我驕傲

杰瑞科技

蘋(píng)果 發(fā)表于 2019-8-25 13:52
申請(qǐng)HTTPS 好弄不？有教程么？

有免費(fèi)的https證書(shū)啊，阿里騰訊也都有免費(fèi)證書(shū)申請(qǐng)的地方

Lgg

個(gè)人觀點(diǎn)：權(quán)限做的好，在加上安全軟件，何必花錢(qián)買(mǎi)這些插件，小白除外