客户网站上的恶意软件-有想法吗？

Question

我们最近接到一个客户打来的电话，抱怨他们的网站页面底部有一些“看起来很奇怪的代码”。 我们检出了源代码，发现在</html>标记之后，已将大约800字节的恶意javascript代码附加到了templates/master文件中。 我不会发布上述代码，因为它看起来特别讨厌。

据我所知，除非有人直接访问服务器和/或FTP登录详细信息，否则无法以任何方式编辑此文件。 实际文件本身已被修改，因此可以排除任何形式的SQL攻击。 除了一个人亲自获得证书并手动修改该文件之外，还会对发生的事情进行其他逻辑解释吗？ 有没有其他人经历过类似的事情？

Answer 1

我要检查的地方是：

• 文件修改时间（查看它何时发生）
• HTTP服务器记录了看起来很有趣的GET参数的迹象（例如， ?foo=exec('...') ）
• FTP服务器日志
• SSH日志（曾经发生过类似的事情，这是因为有人给出了密码）

另外，为了保护免受相同攻击的侵害，我会立即限制对所有站点文件的写访问权限（当然，引导程序仍处于打开状态，但总比没有好。）

Answer 2

如果攻击者没有其他文件访问权限，则很可能是代码中存在一个利用漏洞，使用户可以执行任意代码。 使用passthru（），exec（）和eval（）是这里的常见问题。 如果在同一台计算机上运行FTP，通常也很容易受到攻击。

我不确定是否会明确排除SQL攻击（特别是与上述漏洞相结合的反射攻击），但也不清楚是否会是这种攻击。

---

对于您的问题，它可以是自动的，也可以是针对个人的，在给出的详细程度上很难说。 就像其他人所说的那样，请尽可能多地注销密码，限制对服务器的访问，然后开始检查日志以查看问题出在哪里。 这将比拆开应用程序本身更为成功。

Answer 3

您没有指定，但是如果您要使用FTP，则无论如何都不应该在生产服务器上使用FTP，因为它本质上是不安全的（除了其他方面，它以明文形式传输凭据，这使您很容易受到嗅探攻击）。 始终使用SFTP。

如果您使用的是纯FTP，则很可能是攻击媒介，尤其是修改文件时就已经发生了。 如果您的机器已经完全渗透，我期望看到的不止于此。

Answer 4

几乎可以肯定，泄露的凭据使某人可以远程更改代码。 服务器位于现场吗？

Answer 5

这是我的看法。 使用FTP程序？ 您的ftp日志文件存储了密码，路径等。 密码被解码。

尽量不要在FTP客户端中存储FTP密码。 或执行上述操作，请使用SFTP。 我们遇到了类似的问题，似乎来自一台具有一组FTP登录名的计算机。 同样由于这台计算机以前有很多奇怪的问题。 Javascript无法正常工作，会话超时或仅被删除。 在我看来，这台计算机上有东西。

Answer 6

确保确保找到并删除您网站中的所有可疑文件。 如果他们可以访问FTP，则很可能他们将后门脚本留在某个位置，即使您更改FTP密码或切换为使用SFTP，也可以通过特定的URL在您的网站上上传/修改文件。

如果您使用的是PHP，请尝试运行此处找到的脚本。

Answer 7

若要检测现有的恶意代码，建议您在服务器上使用良好的反恶意软件扫描引擎来检测网站文件中的恶意代码。 很多时候，服务器并不容易受到攻击，但网站却容易受到攻击！ 为防止这种情况，请使用可查看每个请求的Web应用程序防火墙 ，以检测和阻止攻击尝试。