php - 清理没有可用干净版本的被黑网站的最佳方法？

Question

我被要求修复一个在生产服务器上使用 osCommerce 构建的被黑网站。

该站点一直存在于远程主机上。没有离线干净版本。让我们暂时忘记这是多么愚蠢并处理它是什么。

它已被黑客攻击多次，另一个人通过删除 web shell 文件/上传脚本修复了它。

它经常被黑客攻击。

我能做什么？

Answer 1

因为您不能信任 Web 主机上的任何东西(它可能安装了 rootkit)，最安全的方法是从头开始重建一个新的 Web 服务器；不要忘记更新所有面向外部的软件before bringing it online .在严酷的防火墙的快乐方面进行所有更新。

重建系统时，一定要特别注意正确的配置。如果 web 内容 属于与 web 服务器 用户标识不同的 Unix 用户，并且文件权限设置为禁止写入，则 web 服务器无法修改程序文件。

配置您的网络服务器的 Unix 用户帐户，以便它仅对它的日志文件和数据库套接字具有写入权限(如果它们在文件系统中)。被黑的网络服务器仍然可以为客户端提供被黑的页面，但重启会“撤销”“实时黑客”。当然，您的数据库内容可能会被发送到 Yakuza，或者被认为您的数据应该包含 unicorn 图片的人破坏。 Principle of Least Privilege将是一个很好的指南——您的 Web 服务器需要访问什么才能完成其工作？只授予那个。

同时考虑部署 mandatory access control系统如 AppArmor , SELinux , TOMOYO , 或 SMACK .这些系统中的任何一个，如果配置得当，都可以控制系统被黑客攻击时可能损坏或泄漏的范围。 (我在 AppArmor 上工作了十年，我相信大多数系统管理员可以在一两天的学习中学会如何在他们的系统上部署可行的安全策略。没有工具适用于所有情况，所以一定要阅读您的所有选择。)

第二次，请确保通过 puppet 等工具管理您的配置, chef ，或者至少在 revision control system 中.

更新

还有一些与重新上线无关，但同样具有教育意义的内容:从受感染的系统中保存硬盘驱动器，以便您可以挂载它并从另一个系统检查其内容。也许可以通过对受损数据进行取证来了解一些东西:您可能会发现泄露发生在几个月前，并且一直在窃取密码或 ssh key 。您可能会找到 Rootkit 或其他漏洞利用工具。您可能会找到显示攻击来源的信息——也许那个网站的管理员还没有意识到他们已经被黑客入侵。

在检查被黑数据时要小心 -- 您不认识的 .jpg 很可能是首先破解系统的漏洞，并且查看它在“已知良好”系统上也可能会破解它。使用您可以在完成后格式化的硬盘来完成这项工作。 (虚拟化或强制访问控制系统可能足以限制“被动”的基于数据的黑客攻击，但没有什么比一次性系统更能让您高枕无忧了。)