iframe注入排查

早上打开一个自己的网站瞧瞧，发现又被注入iframe了。

真是缺德，报警也找不到地方，也难怪现在精力都放在扫“低俗”了。

首先确认只有一个站点有毒，就觉得应该是这个网站有漏洞，哪个文件被改写了，因首页是html的，排查范围就从这里面调用的js开始，走了一圈没发现异常。

然后发现所有站点都被注入了，包括未指定域名的那个，里面可是只有“域名待售”几个字，就怀疑是arp，但跟机房沟通发现也没事。

于是转向排查iis设置，肯定是解析输出时有问题了。

果然，web服务扩展里面“在服务器段的包含文件”被启用，关掉之，然后去看站点设置，发现属性中的文档里面“启用文档页脚”被勾上了，印象当中默认是空的，于是打开“C:\WINDOWS\system32\Com\iis.htm”这个文件，果然“<iframe src= width=10 height=0></iframe>”就在里面。

问题暂时解决了，但这东西怎么被改的呢？

其实之前就发现先开始中毒的那个站的upload中有个“fuckphp.php.rar”，被我咔掉了。

后面的问题等我想清楚了再说。