webshell

上传目录里多出一个后缀是php的文件，正常的图片目录不该出现这种东西，点开是一行看不懂的代码。后台登录正常，页面看起来也没变，只有这个文件提醒有事发生过。这时候多数人的第一反应是打开文件管理器一个个翻，翻半天没有线索。查的顺序应该反过来：先按时间排，再按位置看。被植入的东西改的是文件本身，修改时间通常比周围的正常文件新，这个差异往往能拉出几天甚至几周，把正常更新和被人动过手清清楚楚分开。用find