关于网站被挂http://cool.47555.com/k.htm木马的解决

近期电脑软硬件应用网所在服务器受到arp欺骗攻击，路由被劫持。

挂马特征：
在头部加入如下代码：

解决和分析过程（借鉴绿盟路由被劫持案例）：

被攻击时

x:\Documents and Settings\Administrator>arp -a
Interface: *.123.71.119 --- 0x2
  Internet Address    Physical Address    Type
  58.123.71.1          00-13-60-*-8e-c2    dynamic
Interface: *.123.225.231 --- 0x3
  Internet Address    Physical Address    Type
  222.123.225.2       00-15-c5-ec-e2-8d    dynamic
  222.123.225.*       00-c0-*-82-5c-fa    dynamic

00-15-c5-ec-e2-8d 这个机器冒充网关，劫持了电脑软硬件应用网
然后查内网的机器发现 00-15-c5-ec-e2-8d 就是 *.123.225.232 和电脑软硬件应用网的服务器同一网段
于是立即关闭该机器，刷新arp，恢复正常

正常后查询arp 结果如下

网关从 00-15-c5-ec-e2-8d 恢复为 00-0e-38-6e-*-bf
网站也恢复正常了

搜索

关于网站被挂http://cool.47555.com/k.htm木马的解决