一般情况下,在对网站入侵成功后,入侵者为维持网站提权,常见在网站中创建后门木马文件或对网站在用asp文件插入一句话木马,其中如Access数据库为防止被下载,网站部署时将.mdb后缀修改为asp,在网站被提权后则注入eval一句话木马。
在使用安全软件进行扫描时,提示存在eval一句话,如D盾
可使用EmEditor打开access数据库文件,选择 以二进制方式打开(ASCII视图)。
查找eval,如下图结果
在直接对eval一句话代码进行删除的,Access数据库管理软件打开文件提示 "不可识别的数据库格式无法识别"
解决方法
1.不删除Eval一句话代码,导出数据库内容,重建access数据库
2.使用支持HEX编辑模式的十六进制编辑器定位一句话代码位置,再使用"00" 将其替换
参考:https://www.zhihu.com/question/55411293
具体操作如下
使用imhex 软件打开 问题数据库文件,搜索字符串 eval
替换选中的字符为 00