У меня есть сервер, на котором была запущена более старая версия lighttpd (1.4.19 на машине freebsd 6.2-RELEASE (да, старая)), и Google предупредил меня, что он обнаружил вредоносное ПО, встроенное в одну из страниц моего сервера. Так получилось, что это наша индексная страница. Я незамедлительно удалил вредоносное ПО и начал просматривать журналы сервера, чтобы узнать, как оно туда попало. Без каких-либо следов в журналах редактируемых файлов, я заметил, что владелец индексной страницы был изменен на www, который является пользователем lighttpd. Затем я пришел к выводу, что для этой версии программного обеспечения должна была существовать какая-то возможность аутентификации, и сразу же обновился до 1.4.26.
Теперь вредоносная программа вернулась. Я начал довольно подробное ведение журнала сервера с помощью ftp, lighttpd и всех попыток входа в систему, чтобы попытаться увидеть, как этот скрипт попадает в систему. Есть ли их предложения относительно других подходов?
Ваш веб-сайт был взломан / поврежден, и когда это происходит, обычно очень сложно воссоздать все действия злоумышленников, и лучшим решением является переустановка скомпрометированных серверов. С другой стороны, вам необходимо провести некоторую криминалистику, чтобы выяснить, что, возможно, произошло, и предотвратить повторение этого.
Вот список вещей, которые стоит проверить:
Кроме того, всегда помните об этом:
Надеюсь это поможет!