相信有很多站长以及运营网站或APP的技术人员都有一些安全上的困扰，尤其是对网站代码里存在后门文件，以及服务器被植入木马病毒的安全问题很闹心，前段时间我们SINE安全接到客户的安全咨询，说是找的第三方开发公司做的APP和后台，运营了起来差不多3个月，一开始注册的会员量不是很多，当注册达到成千上万个会员注册量的时候,就相继出现了安全上的问题，数据库总是被篡改，会员信息泄露，以及被阿里云提示的云安全中心，安全事件提醒，尊敬的*玉:云盾云安全中心检测到您的服务器:47.180.*.*(主服务器)出现了紧急安全事件:自启动后门，建议您立即进行处理。进程异常行为-反弹Shell和异常网络连接-反弹shell网络外连以及恶意脚本代码执行还有Linux可疑命令序列恶意软件-后门程序等告警，针对这些安全问题，SINE安全老于来给大家科普一下，如何去除网站后门木马以及代码漏洞检测等问题。
攻击情况介绍：
当天我们SINESAFE收到客户的电话咨询，客户的平台、APP和H5端、以及后台遭到黑客入侵，并篡改了数据库里面的数据，导致平台的损失过万，详细询问了客户的平台架构以及部署的服务器数量，发现客户用的是Thinkphp架构开发，APP的API接口和H5端以及后台管理都是在该架构的基础上开发的，因为这套代码是客户从买来后找的第三方公司进行的二次开发，第三方开发公司对里面的代码后门并不清楚，很多低价卖源码的，肯定是有利益可图的。建议大家买来后一定要对网站源码进行代码安全审计和网站后门审计服务，尤其是对准备刚上线的APP平台，对安全问题要重视起来，否则到了后期会员规模上来后，损失的就不止这一点了。
跟客户进行了详细的对接，梳理了所有的服务器的信息以及网站源码的位置，我们的SINE安全工程师立即将代码打包到本地，进行源代码安全审计，通过对用户注册以及APP里的具体功能代码，都进行了全面的人工漏洞测试，发现在留言反馈以及会员信息功能，存在XSS跨站漏洞，这个漏洞可以将XSS攻击代码植入到后台里去，当后台的管理人员查看了反馈的留言或用户的个人详情，就会直接触发该XSS漏洞，XSS漏洞可以获取到网站后台的地址，以及管理员的Session和cookies，有了这2个值，黑客就可以登录后台了，对APP里的API接口也进行详细的安全审计，发现存在会员信息泄露漏洞，由于未对UID值进行当前账号权限判断，可以越权查看其它UID的会员信息，像手机号以及注册时间，银行卡，钱包地址，密码等等的信息，都可以越权查看，我们SINE安全工程师对代码中的一些函数功能代码进行审计，检测出了源码作者留的一句话木马后门，而且还是加密形式免杀webshell，代码如下：