Stalno vdiranje na spletno stran

Zadnje čase se mi na spletni strani, ki sploh ni live, dogajajo neprestani vdori, ki pa jih ni v nobenem logu. Po vdoru je skoraj vsem php datotekam dodana neka čudna koda, takoj za <?php :

eval(base64_decode("ZXJyb3JfcmVwb3J0aW5nKDAp................

stran se potem normalno sesuva vsako jutro :(

Ima kdo kako idejo kaj naredit preden grem s stranjo live?

O joj....da ti nekdo nekaj dodaja v PHP mora biti pa nekaj resno narobe s strežnikom ali pa samo php skripto.

Par zadev kar bi jaz naredil:

1. nadrgadil vse programe na zadnjo verzijo

2. popravil pravice na datotekah

3. in najbolj pomembno pogledal vso kodo, prebral veliko na temo PHP varnost, pregledal koda potem pa bi še enkrat dobro pogledal kodo!

Bostjan, nekaj mora bit resno narobe.

1. Gre za kupljeno skripto, ki je nadgrajena


2. pravice na datotekah so 644


3. gledam kodo, brišem to sra*** oziroma nalagam backupe.

Se vam zdi možno, da nekdo, ki proda skripto, neprestano potem vdira (glede na to da ni nobenega supporta, ter da smo s prodajalcem skripte že bolj kot ne na bojni nogi)

Si zamenjal ftp geslo?

Tega je zadnje čase dokaj veliko, vsaj pri nas.

OvcaX:

Si zamenjal ftp geslo?

Tega je zadnje čase dokaj veliko, vsaj pri nas.

Danes še zadnjega (svojega!)

načeloma če je php, preglej malo kodo

kot drugo....če je server slabo skonfiguriran in je na njem še kakšna druga stran....se zna naredit, da to delajo preko tiste strani

je pa zelo čudno, da tega ni v logu, ker če je napad preko http-ja bi skoraj moralo biti v apache logih

Preglej računalnik za trojance, in iz Filezille, ali svojega FTP programa izbriši shranjena gesla.

Kakšna pa je koda, če jo decodaš s tem http://www.opinionatedgeek.com/dotnet/tools/base64decode/?

Običajno so to pirshing napadi v kodi je redirekt na kao neke ponarejen strani spletnih bank ali kaj podbenga da se lovijo nadalja gesla. Večina teh napadov oz do strani pridejo z brut napadi na ftp torej je tako kot pravi žabec rešitev v tem da so gesla dovolj varna da ne dobijo teh podatkov. Drugo je da to pridobijo z raznimi trojanci na osebnih računalnikih in prensonikih in poberejo gesla iz slabih fto clientov.

Preko apache error/access loga dobi IP in mu s htaccess prepreči dostop

<Limit GET HEAD POST>

order allow, deny

deny from nek.ip

allow from all

</Limit>

Ali pa morda bannaj vse in dovoli samo tvoj ip

<Limit GET HEAD POST>

order deny,allow

deny from all

allow from tvoj.ip

</Limit>

Samo možnost je, da uporablja proxy in ga bo zamenjal, tako da to je začasna rešitev.

Ta čas glede na vpise v zgoraj omenjenih logih ugotovi, katera skripta je problematična. Verjetno je kakšna forma nezaščitena.