4

Web サーバーで問題が発生しています。誰かが流出したワードプレスに感染させました。問題は次のとおりです。ファイル内のどこかに悪意のある phpscript があります。悪意のあるスクリプトは、Web サーバー (/home) 上のすべてのファイル内に iframe を配置しています。すべての iframe を消去する方法は知っていますが、トリガーを削除することを考えています。だから私はそれを修正する方法をさまよっていました.おそらく解決策がありますが、あなたのアドバイスが必要です.

スクリプトが時々実行されることに気付きましたが、完全にランダムです (週に約 1 回) 次に、次のシェル コマンドを使用して悪意のある iframe をすべて消去したとします (現在、30 分ごとに実行しています)。

find /home -type f | xargs sed -i 's$<iframe src="[^"]*" width="2" height="2" frameborder="0"></iframe>$ $g'

私のすべてのphpファイルにiframeが含まれていないので、iframeが再び表示されたときに警告することが考えられます。このように、iframe が表示されるおおよその時間があれば、Apache ログを調べて、どの Webscript が呼び出されたかを確認できます。

そこで、別の bash シェルを作成しました。それで問題ないかどうかアドバイスをいただきたいと思います。メールを受信するまで、サーバー上で 30 分ごとに実行していました。

次に、Apache ログを調べて、過去 30 分間のログを確認します。

だからここに私が考えていたbashがあります：

#!/bin/bash     
find /home -type f | xargs grep -q '<iframe src="[^"]*" width="2" height="2" frameborder="0"></iframe>'     #Find the string in all file on my all directory
if [ $? -eq 0 ] #if the result is not equal to zero
then
        echo "At the following time : " $(date +%H-%M-%S) | mail -s "[Serveur Leaked] Bad iframe has been found " me@mymail #we send a mail with the date
        find /home -type f | xargs sed -i 's$<iframe src="[^"]*" width="2" height="2" frameborder="0"></iframe>$ $g' #we replace the iframe with a whitespace
else    
        exit 1  
fi

exit 0

私が言ったように、30分ごとに検索と置換のシェルコマンドを実行していて、多くのプロセスがかかっていることを知っているので、本当に解決策を見つける必要があります。

しかし、サーバー上で iframe を長くしすぎると、ウェブサイトが Google によってブラックリストに登録されてしまい、これを行う余裕がありませんでした。

今後ともアドバイスをよろしくお願いいたします。

アンセルメ

4

3 に答える 3

3

これを引き起こしているのは PHP スクリプトではない可能性があります。ハッカーがサーバーへのパスワードを取得した可能性があります。このサイトでは、何を確認するかを説明するいくつかのリソースを提供しています。

http://wordpress.org/support/topic/new-malware-code-injection-attack

インストールを強化する方法に関するWordpressのドキュメントは次のとおりです

http://codex.wordpress.org/Hardening_WordPress

システムの root パスワードを変更することから始めるのがよいでしょう。

そして、あなたが直面しているかもしれない悪意のある巧妙化のレベルのアイデアをあなたに与えるために

http://blog.sucuri.net/2013/05/auto-generated-iframes-to-blackhole-exploit-kit-following-the-cookie-trail.html

お悔やみ申し上げます。

于 2013-07-17T03:26:44.547 に答える
3

監視したい iframe ファイルが見つかったら、おそらく inotify のシェル スクリプト可能なバージョンであるinotifywaitが最も簡単な解決策です。次のようなスクリプトで使用します。

#!/bin/sh
while inotifywait -e modify /var/log/messages; do
    if tail -n1 /var/log/messages | grep httpd; then
        kdialog --msgbox "Apache needs love!"
    fi
done

一般に、ビルド済みユーティリティを含み、セキュリティと監査用に特別に設計されたauditdなど、より優れたファイル監視ツールがあります。

また、ユーザー情報を提供し、ボリューム全体を効率的に監視できるfanotifyもあります。優れたサンプル ツールであるfatraceを確認してください。

inotify には、いくつかの重大な問題があります。新しく作成されたフォルダーを確実に監視できず、ファイル変更のソース (PID) を識別できません。これらはどちらもここにはありませんが、inotify を直接使用するにはコーディングが必要です。

于 2013-07-17T02:24:37.603 に答える