web-dev-qa-db-ja.com

インデックスページが侵害され、不審なファイルが表示されています

私のウェブサイトは最近ハッキングされ、改ざんされています。今私は奇妙なファイルを持っています、それらがどこから来たのか分かりません。私が知りたいのは、これらのファイルのどれが有害であるか、または再びハッキングされる可能性があるかです。

.htaccessには次のコードが含まれています。

<Files 403.shtml>
order allow,deny
allow from all
</Files>

deny from 121.54.58.159

ファイル .wysiwygPro_preview_eacf331f0ffc35d4b482f1d15a887d3b.phpには次のコードが含まれています。

// display the HTML code:
echo stripslashes($_POST['wproPreviewHTML']);

?>
attackswebserver
13
winona

それは何ですか？

PHPファイルはXSSバックドアです。これにより、攻撃者は任意のHTMLにJavaScriptをサイトのコンテキストで提供できます。これにより、攻撃者はあなたが設定したCookieにアクセスできます。地点。

攻撃者は、被害者をだまして、wproPreviewHTML変数に悪意のあるコードを含むPOSTリクエストをそのファイルに送信します。ログインしているなどの理由で、そのユーザーに特別な権限がある場合、攻撃者は何でもできるようになります.

禁止されているエラーも疑わしいかもしれません。一部の悪意のあるソフトウェアはエラードキュメントに非表示を試みます。エラードキュメントは通常、通常のWebページのドキュメントルートフォルダーの外にあるため、このような変更が認識されない可能性が非常に高くなります。

今何をする？

サーバーを最初からセットアップする必要があります、操作の完全な影響を知ることができないため。どこかにバックドアが隠されている可能性があります。侵害されたサーバーから新しいサーバーにプログラムファイル（スクリプトやphpファイルを含む）をコピーしないでください。

さらに、デスクトップコンピュータ用のいくつかの悪意のあるプログラムがあり、FTPまたはSFTP経由でアップロード中にphpファイルを操作します。

17
Hendrik Brummermann

ウェブサイトがハッキングされていますか？このチェックリストに従ってください：

  • サーバーからすべてのファイルを削除し、「既知の正常な」バックアップから復元します。そのようなバックアップが存在しない場合は、ソースから再インストールし、dataのみをインポートします。プログラム（PHPなど）ファイルはインポートしません。

  • すべてのパスワードを変更します。含む：

    • FTPパスワード

    • データベースのパスワード

    • サイト管理者パスワード。

  • 不要なプラグイン、モジュールなどを無効にします。

  • 未使用のソフトウェアを削除します（例：使用したことがないブログ、または一度しか使用しなかったデータベース管理ツール）

  • 使用しているすべてのWebソフトウェア（Joomla、wordpressなど）と残りのプラグインとモジュールを最新バージョンに更新します。

  • システムソフトウェアコンポーネントを最新バージョンに更新します。 （例：apt-get update && apt-get upgradeまたはyum update）

  • 可能な場合は自動更新を有効にします。

6
tylerl

オペレーティングシステムコントロールの使用 を強く検討して、Webサーバーの上に追加の制御層と監査を提供します。

また、その質問のすべての回答を読むのに時間をかけてください。

5
Jeff Ferland

このファイル.wysiwygPro_preview_eacf331f0ffc35d4b482f1d15a887d3b.phpは、心配するバックドアではありません。 cpanelのファイルマネージャーで組み込みのhtmlエディターを使用するときは常に cpanelファイルマネージャーによって作成されます です。

ただし、エディターによって取り残された場合は、ファイルを削除する必要があります。

4
Chris Davis

Chris Davisが答えたように、PHPファイルは悪意のあるバックドアではありません。cPanelファイルマネージャーのWYSIWYGエディターによって作成され、ファイルがサイトの改ざんに関係することはほとんどありません。 。

これは、元の投稿にあるほど安全ではありません。ファイル名は長いランダムな文字列であり、何かを行うには別の長いランダムな文字列を渡す必要があります。その文字列は、エディターが保存するたびに更新されます。ファイルの残りの部分は次のようになります。

<?php
if ($_GET['randomId'] != "AYEPENANR_zMBVyKHKQAYv6UF6nPMY5xV6iFIvaOQTTw0lLpE1O2SH0ZzoSfvUuY") {
    echo "Access Denied";
    exit();
}

// display the HTML code:
echo stripslashes($_POST['wproPreviewHTML']);

?>
2
Billy