html - 网站中的 iframe 注入(inject)

Question

我的网站遭到入侵。有人在我的网站中注入(inject)了一些 iframe 标记。

他们是怎么做到的？仅在我的 index.html、index.php 页面上。但是我已经阻止了这个页面的写权限，那么他们怎么能在我的页面上写。

它会影响我服务器上的其他页面吗？

是否有任何其他解决方案来阻止此操作？

谢谢

<?php` 
include_once("commonfiles/user_functions.php");
include_once("user_redirect.php"); 
include_once("designs/index.html");
?>

<iframe src='url' width='1' height='1' style='visibility: hidden;'></iframe>

这是我的 index.php 代码 <iframe>在 php 脚本之后注入(inject)。

Answer 1

可以通过 FTP 访问您网站的人(您或您的开发人员)的工作站上有病毒。该病毒安装了一个键盘记录器，它会从您的 FTP 客户端窃取凭据并将此信息发回给黑客。

黑客收集了数百个此类凭据，然后使用程序登录每个服务器，下载文件，修改它以附加 iframe 或混淆的 JavaScript 或 PHP block ，上传文件，下载下一个文件，修改，上传、下一个等。下载的文件可能匹配一组名称(例如仅 index.、default.、home.* 等)或仅匹配任何 html 或 PHP 文件。

附加代码通常是可见性:隐藏或大小为 1x1px 的 iframe、在可疑域上获取远程 JavaScript 文件的 <script>、由一些聪明的 str.CharCode'ing 混淆的 Javascript 集合，或者一 block base64_encode'd eval()'d 代码。取消混淆代码，结果通常是一个 iframe。最近，一些聪明的攻击者正在插入远程 shell，授予他们对您的服务器的后门访问权限。

一旦所有文件都被修改，攻击者就会注销。您站点的访问者将受到来自 iframe 中链接域的恶意代码的攻击，这些代码旨在安装病毒和 rootkit。在其他功能中，这些病毒会安装一个键盘记录器来嗅探 FTP 凭据……并且病毒会继续传播。

攻击者正在使用您的凭据，因此他们只能访问您有权访问的文件。有时，他们会在某些目录中上传一个带有编码外壳的额外文件，允许他们返回对服务器的访问(常见的是/forums 目录中的 _captcha.php 和/gallery 目录中的 img.php 或 gifimg.php)。如果您在您的服务器上托管其他域，只要受影响域的用户没有超出其当前域的访问权限，其他人就不会受到影响。

有两种方法可以阻止这种攻击——预防和适当的杀毒。通过使用防火墙并将 FTP 访问限制为仅少数选定的 IP，可以轻松转移攻击。攻击者不是从您自己的工作站(目前)发起攻击，而是从世界其他地方的服务器发起攻击。在所有可以访问您的 FTP 帐户的工作站上使用适当的防病毒软件——或者更好的是，不使用 Windows XP——将有助于防止原始感染的发生。

如果您被感染了，使用一些聪明的 sed 来清理困惑是相当容易的，这取决于您在发现注入(inject)和制作有效的正则表达式方面的能力。否则，备份备份备份——总是有备份! ...哦，更改您的 FTP 密码，否则他们明天就会回来。