服务器被人植入恶意程序的解决办法

zguw1234

第一步首先弄清被植入的是什么类型的病毒，
首先按服务器上的文件是否被修改,分成ARP中毒,及非ARP中毒, ARP中毒是目前最普遍的挂马现象.碰到挂马首先应该检查这个.
ARP挂马现象:  IE访问时,站点被挂马了,但是到服务器上查看实际的文件时,发现服务器上的文件并没有被修改.
ARP挂马的解决方法:  及时与机房联系, 是由于机房中跟你同一个机柜的服务器中有一台服务器中了ARP病毒, 机房检查出该机器之后,把该机器关掉,即可恢复正常.
B) 在排除了ARP挂马的可能性之后, 如果你的服务器上网站程序确实被修改了, 根据被挂马网站的数量分成以下几种类型:
(1)  个别网站被挂马.
现象: 只有一个或两个网站被挂马,其它网站均没有问题.
解决: 一般是网站本身程序有问题. 可以通知客户自行解决,不属于IDC提供商的责任范围.
如果想要帮客户解决,可以先检查一下看客户网站上是否存在WEB上传程序, HTML在线编程程序,图片在线上传的程序,大部是这类程序有问题。如果不需要用到这类程序,可以WinIIS控制面板里设置一下站点主目录的权限, 把写权限去掉,留下只读与执行即可。
(2)  同一类型的网站被挂码.
现象:  数个网站被挂马,且被挂马的网站内容是同一类型的网站,比如使用同一种论坛程序,同一种在线上传程序,同一种商城等.
解决:  大部分是由于这类论坛或商城程序有漏洞. 可以建议升级一下相关的程序,或者同方法 (1)一样,在WinIIS控制面板里把站点主目录的写权限去掉,只留下读与执行权限
(3)  整台服务器大部分网站都被挂马了
现象:  服务器在大部分网站都被挂马了, 这种多半是由于服务器安全整体安全问题.
解决: 一般需要从以下方面检查服务器的安全.且查出问题之后, 如果没有十足把握, 一般建议需要重装服务器,才能根除.
检查磁盘的权限设置是否有问题,特别的C盘的权限.  其它盘是否有特别上不必要的权限,一般建议其它盘符及d:\www\web\目录只留下administrators及system权限就行了,不要留下任何其它用户的权限.
检查serv-u没有设置管理密码,检查MSSQL的SA密码是否过于简单或空密码,检查系统的启动项,看是否有不必要的程序启动. 检查任务管理器,看是否有可疑的进程,检查系统的服务,看是否有可疑的服务启动。