网站被攻击、勒索，是 azenv.php 的问题吗？

[Aidea]

昨晚公司网站被攻击，导致无法访问，不一会就收到信息让给钱（网站留有 QQ ）

因为当时网站急需使用，公司也没有能够搞定的技术，无奈之下交了钱...

事后分析 IIS 日志，发现从 11 月 29 号开始，日志里多了如下这条：

/azenv.php auth=136522354422&a=PSCN&i=2546765489&p=80 80 - 85.21.179.19 Mozilla/4.0+(compatible;+MSIE+8.0;+Windows+NT+5.1;+Trident/4.0) 200 0 0 1432

之前在 11 月 30 号的时候，网站也被攻击过一次（更早之前没有过），分析日志发现是大量不同的 IP 发起了 N 多的请求，网站无法正常打开，阿里云也自动触发了黑洞。俗称的 DDoS ？不过半小时就恢复了，事后也没任何人出来表示对此事件负责...

而昨天的现象是，日志里没发现任何不正常的请求，打开网站只显示“服务不可以。”这几个字，阿里云只记录有攻击刚开始时一个瞬时的高流量，未触发任何报警。

请教各位，这个 azenv.php 是什么文件？服务器上也没发现有这个文件，更何况是 IIS+ASP 的架构？

如果不是 azenv.php 的原因，那是何种手段使得 IIS 没有记录，阿里云没有报警，而网站却不能访问的呢？

之后如果遇到同样的情况，只能待宰了吗？

[jugelizi]

从返回 200 说明这个文件存在 关闭 IIS 对 php 的解析先
然后看文件是哪个请求上传的在堵漏洞

[Aidea]

@uzumaki 自己试马，感觉有风险啊

@jugelizi 实施起来貌似有点难度，我找个懂行的来看看先

[uzumaki]

@Aidea 有毛问题啊，你现在有折么。
1 阿里云快照建好。
2 晚上在没人什么人访问的时候把网站关闭。弄个类似公告的东西。网站维护中。
然后就自己折腾啦。

[046569]

https://www.046569.com/2015/05/30/web-threats.html
https://www.046569.com/2016/11/30/anti-ddos.html
这两篇文章 LZ 看看是否有帮助.
如果还是解决不掉,可以联系我.