[TOC] ## 事件处理 ### 1、服务器可疑进程分析 * 使用 PCHunter、Procexp64 等工具对进程、服务、启动项、任务计划进行分析 ### 网站后门木马查杀 * 通过对网站目录进行后门木马查杀（工具 D盾、河马等） ### 可疑用户分析 * 通过计算机管理或者注册表中查看隐藏用户 ### 日志分析 * 查看 Apache 相关日志，查看是否有异常访问的日志 ### 结论 * 公司首页被植入暗链 * 攻击者疑似通过文件上传漏洞，上传木马程序，然后在首页源码中插入暗链，使得用户从各大搜索引擎进入首页的时候，跳转到另一个站点 ## 根除与恢复 1. 删除暗链代码，如果网站源码有备份的话，直接从备份中还原 2. 删除可疑目录下的webshell，删除 default.php文件，全盘查杀病毒以及 webshell 3. 删除隐藏用户、修改主机用户密码、数据库密码、网站后台密码等 4. 进行渗透测试，查找系统漏洞，修补漏洞