服务器被破坏了。去哪找？

Question

最近，我们有一个运行Apache (2.2.3)的web服务器受到了破坏，并且正在清理数据并转移到另一台服务器上，我们可以重新构建当前的服务器。

我们希望在完成移动到新服务器之后，尝试并找出所做的事情。我们得到了简单的东西，注入了大量文件中的PHP代码，并将PHP插入到数据库中。

同时，我们仍然有标记-在html文档中更改，或者在文档中的开始标记之后插入一大块文本。这发生在发送到搜索引擎的所有HTML文件上，无论是从静态HTML文件还是从PHP文件生成的。它也将重定向任何人从搜索引擎到另一个网站，只要他们的参考包含某些关键字。

如果页面缓存在反向代理中，则不再发生这种情况，这有助于我们将其缩小到Apache中的潜在内容。这就是我想知道的“我去哪找？”我们已经寻找了额外的模块，添加和签入我们的配置文件，但还没有找到任何突出的。

也许还有其他地方可以检查，这样我们才能知道到底发生了什么？

Answer 1

如果您知道关键字，您可以为它们在/根目录中对所有文件进行grep。然后手动检查结果。

Answer 2

插入文件的代码..。我认为的第一件事是受到损害的用户。简单的FTP黑客-工作。以我的经验(这是相当可观的，作为一家网站托管公司的前线系统管理员)，弱密码是人们喜欢承认的更多次。写入文件的方法不多，这就是其中之一。

我真诚的建议是把这一切清理干净，然后：

1. 完全禁用FTP。理想情况下通过防火墙设置。
2. 执行严格的密码，并定期更改密码。
3. 通常，您会倾向于允许松散的文件和目录权限。绝不允许全局写入。总有更好的办法。
4. 不要使用来自受人尊敬的源代码的PHP代码。谷歌搜索中的垃圾脚本根本不值得。

如果你真的想追踪到底发生了什么事.搜索您在FTP日志中不熟悉的IP地址。如果您认为这是脚本黑客，请检查您的/tmp目录中是否有黑客脚本。任何可执行文件都是坏消息，就像任何脚本一样。检查适用的apache日志以获得对受影响文件的引用，特别是如果这些文件不经常被访问。

请记住，您可以使用以下方法从文件中删除代码：

sed -ie s/regexorstring//g *

...run在适当的目录中。这只是一个查找和替换(基本)，它将抓取任何您想要的字符串，并将其删除。其中的一些正则表达式将使它变得非常容易。