Question

ecshop被挂马，首页index.php总是被篡改成html代码，删不掉改不了还。

ecshop被黑，首页index.php总是被篡改成html代码，删不掉改不了还。覆盖不了，防sql注入搞了，后台的路径 账号密码也改了，还是不行，之前多出的文件全删掉了，现在就是index.php文件删不掉 改不了，文件的修改时间不停的刷新 不停的变，有大佬有办法解决吗，估计是被拿到webshell权限，可能跑了一个自动脚本不停的重新编写index.php





Answer 1

最近9月份出来的ecshop漏洞,对于2.72 .2.73 3.0 3.6 4.0版本的sql执行getshell漏洞导致的用ecshop程序的网站被入侵 user.php被删除 而且网站首页总是被篡改经常是标题和描述被修改从百度搜索打开网站跳转到一些博cai网站,应该对转义函数进行过滤防止post提交生成php脚本木马文件，而且这个被篡改的问题是反复性质的，清理删除代码后没过多久就又被篡改了。必须要对程序漏洞的根源问题进行修复网站漏洞,清理已经被上传的隐蔽性的木马后门。

如果对程序代码不熟悉的话建议找专业做网站安全公司来处理此问题,国内推荐Sinesafe,绿盟,启蒙星辰等等。

Answer 2

我是这样解决问题的，希望对大家有帮助
1文件index.php init.php被篡改的
开始修改文件权限修改400，发现不管用，源文件被改成indax.php indbx.php
然后直接linux命令：chattr +i 文件夹/index.php 之后文件没有被改
2 百度收录跳转博客，查找到在js文件里有挂马
根据篡改页面找到相对jquery-1.9.1.min.js jquery.js等文件，在里面发现木马，上传覆盖后加锁，chattr +i 文件夹/ jquery.js
现在收录已经恢复

Answer 3

经检查是模板路径下的jquery-1.9.1.min.js文件有问题并加密了，重新下一个文件来覆盖掉就行了

Answer 4

如果是 虚拟主机 ，得求助空间商解决了，无法删除，可能是文件被占用中 ，或者 属性被改为只读或系统属性了。肯定还是有没有删除的后门文件存在。
如果空间有访问日志，建议多分析访问日志，找到入侵的后门文件，做相应的修补。

Answer 5

我也是这个问题，楼主解决了吗