天空极速

今天接到一虚拟服务器客户的电话，网站被人用iframe挂了网页木马。
IP和MAC都已经在三层上面进行了绑定。
为了方便管理，公司的虚所服务器都特意集中在一台交换机上了。
所以处理问题大概的范围也就明确了。
上网管监控服务器，扫了一下网段内的MAC地址， 其中两台机器MAC地址是一样的，而一个MAC地址为网关的MAC，那另一台机器肯定有问题。
看另一台机器的IP，结果是我前几天打开测试的虚拟服务器，杀毒软件也安装了Mcafee，远程桌面登陆证书也设置了。
先安装证书，登陆进去看看。
系统是Windows 2003 Server Enterprise Edition，补丁也全都打了，没发现Mcafee有任何异常。
第一直觉告诉我，可能又遇到之前的那种问题了。
打开C:\WINDOWS\system32\drivers，嘿嘿！
果面有两只虫子在里面：Kvboot.sys xArpProto.sys，先捉到桌面上，一会看看。
马上再用Mcafee目录锁定的功能，将drivers目录锁起来，禁止创建文件，写入文件，重启。。

重新登陆后，登陆“炼钢炉”，将两只虫子丢进去看看，结果有些失望：
Kvboot.sys除了安博士能（AhnLab-V3）识别为“Win-Trojan/Xspoof.2816”，其它的杀毒软件居然一样也没发现；
xArpProto.sys是什么都没有发现。
而换了KV2008，却把两只虫子都K了。

之前也处理过这种问题了，所以都没动什么脑筯就知道问题的根源了。

事后用最新的Kaspersky Internet Security 7查了，无果。
那么多国际知名的杀毒软件，最新的病毒库，结果居然是这种，十分不解。。。。