php - 有没有办法查看 FTP 是否由 PHP 启动？

Question

我的网络服务器受到攻击，其中 .html 文件被 FTP 复制到公共(public) html 目录中。

FTP 密码非常强。

我正在尝试确定 PHP 是否启动了 FTP 传输。是否有可以提供此信息的 Apache 或 Nix 日志文件？

附加信息我的 FTP 日志条目似乎显示不同的 IP 用于登录和复制文件。我不确定，但是？在 IP 之前指示除了它不是帐户用户(在这种情况下是王国)？看起来好像记录了几个不同的 IP - 每个 IP 都复制了一个不同的文件 - 所有这些都发生在不到 30 秒的时间内。有问题的文件是“mickey66.html”、“mickey66.jpg”和“canopy37.html”。

2010-06-17T21:24:02.073070+01:00 webserver pure-ftpd: (?@190.20.76.74) [INFO] kingdom is now logged in

2010-06-17T21:24:06.632472+01:00 webserver pure-ftpd: (?@77.250.141.158) [INFO] kingdom is now logged in

2010-06-17T21:24:07.216924+01:00 webserver pure-ftpd: (kingdom@77.250.141.158) [注意]/home/kingdom//public_html/mickey66.html 已上传(80 字节，0.26KB/秒)

2010-06-17T21:24:07.364313+01:00 webserver pure-ftpd: (kingdom@77.250.141.158) [INFO] 注销。

2010-06-17T21:24:08.711231+01:00 webserver pure-ftpd: (?@78.88.175.77) [INFO] kingdom is now logged in

2010-06-17T21:24:10.720315+01:00 webserver pure-ftpd: (kingdom@78.88.175.77) [注意]/home/kingdom//public_html/mickey66.jpg 已上传(40835 字节，35.90KB/秒)

2010-06-17T21:24:10.848782+01:00 webserver pure-ftpd: (kingdom@78.88.175.77) [INFO] 注销。

2010-06-17T21:24:18.528074+01:00 webserver pure-ftpd: (kingdom@190.20.76.74) [INFO] 注销。

2010-06-17T21:24:22.023673+01:00 webserver pure-ftpd: (?@85.130.254.227) [INFO] kingdom is now logged in

2010-06-17T21:24:23.470817+01:00 webserver pure-ftpd: (kingdom@85.130.254.227) [注意]/home/kingdom//public_html/mickey66.html 已上传(80 字节，0.38KB/秒)

2010-06-17T21:24:23.655023+01:00 webserver pure-ftpd: (kingdom@85.130.254.227) [INFO] 注销。

2010-06-17T21:24:26.249887+01:00 webserver pure-ftpd: (?@95.209.254.137) [INFO] kingdom is now logged in

2010-06-17T21:24:28.461310+01:00 webserver pure-ftpd: (kingdom@95.209.254.137) [注意]/home/kingdom//public_html/canopy37.html 已上传(80 字节，0.26KB/秒)

2010-06-17T21:24:28.760513+01:00 webserver pure-ftpd: (kingdom@95.209.254.137) [INFO] 注销。

Answer 1

您的工作站上可能有运行 FTP 客户端的恶意软件。恶意软件必须从您的 FTP 客户端窃取密码并将其发送给某些第三方。

这件事发生在我们身上。我们所有的登陆页面都注入(inject)了恶意代码/iframe-url 代码，这些代码将在所有在浏览器中打开该页面的机器上下载该恶意软件。