html - ovh.com 上的个人网站被黑，在 html 中添加了代码

Question

我的 friend 在 ovh.com 上有一个网站。几天后，该网站被谷歌标记为危险。

我查看了文件(该站点仅包含 html、css、pjg)，似乎有一行新代码:

<script>http://...page.php</script></body>

(我不记得确切的网址)已添加到某些 html 页面中。这显然是一种病毒，会在页面显示时运行。

如果我删除这一行并再次扫描文件，就可以了。

如何将其添加到服务器上的文件中？有什么办法可以防止这样的事情吗？ (考虑 .htaccess 的东西或其他)。我看不出 ftp 标识符是如何被盗的，所以对我来说，这个代码插入必须来自其他地方。

你能帮忙吗？

非常感谢，

吕克

Answer 1

这可能不是您所想的黑客攻击。共享主机通常不是问题....并且不太可能有人猜到了您的密码。在不知道细节的情况下，我敢打赌您帐户中的某处有一个开源软件，例如 Joomla、phpBB、Wordpress 或类似软件。我还敢打赌，这款软件已经有一段时间没有更新了。

这很常见。黑客找到易受攻击的脚本并在网络上“嗅探”爬行以寻找他们可以用来访问您网站的特定代码版本。几份工作前，一名员工偷偷在服务器上偷偷安装了 phpBB，一个俄罗斯色情网站进入了我公司的网站。通过这个易受攻击的代码，他们注入(inject)了数千个文件，甚至通过创建一个拥有所有权限的新“ super 管理员”获得了对数据库的访问权限。不用说，清理起来一团糟。一个类似的问题发生在我用于测试目的的一个帐户上:旧版本的 Joomla 允许用户编写脚本注入(inject)看起来乱码的 javascript，试图通过用户的浏览器安装病毒，并且还导致了您在 Chrome 中描述的错误屏幕.我当前公司的生产站点每天都会在日志中看到数百次利用 phpMyAdmin 的尝试，这就是我们停止使用它的原因。

那么，现在呢？首先，将您的站点关闭一段时间以保护其他站点……借此机会更改 db 和 ftp 密码。其次，分析那里有什么……删除所有未使用的代码，更新开源脚本。确保软件密码没有保留在默认状态，因为黑客知道它们(有没有想过大多数 WiFi 是如何被黑客入侵的？)然后，不那么有趣的部分……挖掘页面以清理注入(inject)的代码。查找和替换或 GREP 可以帮助加快这部分的速度……但是要小心把它全部拿出来，否则他们可能有办法重新进入。在我的个人网站的情况下，需要 2 次复飞才能完全获得该网站已锁定并清理干净。好消息是这些攻击中的大多数都是自动进行的，因此注入(inject)的代码非常明显并且几乎总是在同一位置并且在页面之间使用相似的语法。另外请注意，其中一些攻击会在您的服务器上托管文件，因此请仔细检查文件以确保它们是合法的。

最后，分析您自己的代码，看看您是否留下了任何漏洞。登录脚本、fwrites 甚至查询都可以成为注入(inject)的目标。小心你对什么敞开心扉。