今日,知道创宇安全团队发现“齐博CMS整站系统(qiboCMS)”官方下载的安装文件包里被植入恶意网站木马文件。当站长用户下载安装后,导致网站被“感染”该恶意后门使网站沦为“肉鸡”。我们立即启动了应急方案,已积极联系齐博CMS官方,并发布紧急预警,请站长们暂停下载安装齐博CMS对于近期下载安装过齐博CMS的朋友,请参考下面的解决方案。
关于“齐博CMS整站系统(qiboCMS)”
齐博CMS系统是国内领先的开源内容管理系统之一,凭借着独创的可视化标签技术优势,使得页面的管理维护与风格的制作的门槛降低到最低程度。因此而深受广大用户喜爱。
官方网站:http://www.qibosoft.com/product_cms.htm
后门文件分析
经过我们分析发现黑客在齐博CMS整站系统的安装文件包里做了如下篡改:
1、在/admin/template/center/config.htm文件了插入了一段html代码:
- <div style=”display:none”><script src=’http://pw.cnzz.com/c.php?id=1200998884&l=2′ language=’JavaScript’ charset=’gb2312′></script></div>
其主要目的可能为方便统计“中招”的网站URL等信息。
2、植入php木马后门文件:/ewebeditor/ckfinder/plugins/fileeditor/codemirror/contrib/php/js/net.php
这个文件代码使用了“PHP神盾”加密:
直接访问得到如下界面:
通过解密证实该文件为“phpspy木马”文件!输入密码登陆:
解决方案
1、编辑/admin/template/center/config.htm删除对应的html代码(见上)
2、删除木马文件:/ewebeditor/ckfinder/plugins/fileeditor/codemirror/contrib/php/js/net.php
3、建议启用加速乐(http://www.jiasule.com/)可成功防御拦截常见后门文件。
图/文 知道创宇安全团队 2014.10.23
标签: qiboCMS, qiboCMS后门, qiboCMS漏洞, 齐博CMS, 齐博CMS后门, 齐博CMS漏洞