[請益] IIS 7.5 URL偽靜態方法（駭客過招）

[issic1999 (艾思科)]

請問各位高手：
  最近有一台win server 2008 IIS 7.5主機（簡稱A主機），遇到一個問題，
凡從搜尋引擎點選連結（例如abc.com/sd/a.aspx）到A主機，明明沒有該目錄
跟檔案，但WEB LOG會狀態判斷是200，然後將網頁轉址到情色網站，這情況跟
使用url rewirte功能很神似，於是檢查如下
1.檢查IIS確認沒安裝url rewrite模組
2.檢查ISAPI Filters 也沒有規則
3.error page 沒有自訂設定（.net 也相同）
4.http redirect沒設定
5.web.config 沒有rewrite相關規則
6.看TASK 也沒有異常的process https://imgur.com/a/QQOnHFy

請問各位高手，還有什麼可能性呢?  目前找不出對方是使用何種方法
還請高手不嗇指教 感謝

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 122.117.33.113
※ 文章網址: https://www.ptt.cc/bbs/MIS/M.1550556031.A.5A8.html
→ kenwufederer: 你把IIA關閉看會不會轉
→ kenwufederer: IIS
推 tomsawyer: 一定是裝了百度雲盤的原因(x
→ eric00169: 主機的host檔案呢?
→ issic1999: Host檢查也正常，iis關掉就不轉沒錯..xD
→ issic1999: 但iis不開網站就開不了啦
推 Wishmaster: 那你在web或在client抓封包可以看到甚麼?
→ issic1999: 有用smartsniff去看，不過無法看到異常的地方
→ issic1999: 正常的url進來,轉址的封包送出去..代表應該是IIS搞怪
推 darktasi: 檔案丟去其他台iis跑呢
→ winters920: 色情網址拿去web.config裡面搜尋，然後再看你網頁原始
→ winters920: 碼，是否有被遷入meta refresh
→ issic1999: web.config找過，連全部的檔案都搜過，還是沒線索
→ cat031147: 首頁被插了javascript？
※ 編輯: issic1999 (223.141.114.141), 02/21/2019 07:43:01
→ winters920: 原始碼檢查過了沒？
→ issic1999: 公佈解答，今天找到了連結是寫在.dll裡面...真是無言
推 kennyna: 請問方式找到dll？
推 lusaka: 請問是在從那個地方查詢到有問題的dll