某网站木马查杀实战

最近我们某网站商务联盟用户偶尔会反馈在访问首页的时候会有腾讯周年庆感恩活动的中奖通知。并且在页面刷新以后问题就消失了，复现时没有规律。
然后会一步步把客户导向被骗的深渊，查杀该木马刻不容缓。
新建位图图像.png 首先出现这种现象的原因可能是用户客户端染毒，本机被种了木马，或者浏览器有恶意插件，另外就是被访问网站被植入了木马，并且这种木马属灰度级别的，没有明显的规律，这大大增加了查杀的难度。
客户端的原因很容易被排除，暂且不表。
我们先科普一下木马的定义，百度百科的定义是这样的：木马（Trojan）,也称木马病毒，是指通过特定的程序（木马程序）来控制另一台计算机。木马通常有两个可执行程序：一个是控制端，另一个是被控制端。木马这个名字来源于古希腊传说（荷马史诗中木马计的故事，Trojan一词的特洛伊木马本意是特洛伊的，即代指特洛伊木马，也就是木马计的故事）。“木马”程序是目前比较流行的病毒文件，与一般的病毒不同，它不会自我繁殖，也并不“刻意”地去感染其他文件，它通过将自身伪装吸引用户下载执行，向施种木马者提供打开被种主机的门户，使施种者可以任意毁坏、窃取被种者的文件，甚至远程操控被种主机。木马病毒的产生严重危害着现代网络的安全运行。
从定义来看，木马最典型的特征是伪装，伪装与反伪装的博弈自古有之，从人类，到动物界，从个人、小团体到组织和国家，无不通过伪装来达到迷惑对手的目的，所以这场拉锯之战并没有最终的赢家，而是以此消彼长的态势来逐渐麻痹我们的认知，给我们看似赢了实际却输掉了的错觉。

言归正传，一旦源程序被植入代码，那么从瀚如烟海的源码中找出来，无疑是大海捞针，况且只能用最笨最原始的方法来排查，时间也耗不起，所以代码版本的管理就显得尤为重要。还有一种方法就是从问题页面着手，对涉及到的请求逐一排查，顺藤摸瓜，定位被植入的源代码路径，谈到顺藤摸瓜，就必须要提到页面http请求中的一个很重要的概念：referer。它是页面header的一部分，当浏览器向web服务器发送请求的时候，一般会带上Referer，告诉服务器我是从哪个页面链接过来的，服务器籍此可以获得一些信息用于处理。在信息安全方面，防盗链的很多处理方法都是基于referer的。