Ondsindede javascript-scripts. Find og fjern ondsindet kode på WordPress

Et andet åbenlyst faretegn er "+"-symbolet inde i mærket. Der er ikke sådan noget i scriptløs html. Hvis vi finder plusser inde i tags, blokerer vi nådesløst beskeden.

En velmenende webstedsbruger, der tilføjer en kommentar ved hjælp af en visuel editor, vil aldrig ty til kryptering med symbolske primitiver inde i html-tags. Brugen af ​​symbolske primitiver i tags giver ingen fordele i form af yderligere udtryksmidler; det kræver kun ekstra skrivetid. I de fleste tilfælde skulle man tro, at en velmenende bruger ikke engang ved, at der er visse karakterprimitiver i HTML. Derfor reglen: et og-tegn inde i et tag er bevis på et angreb på webstedet. Hvis vi ser dette, blokerer vi derfor meddelelsen.

En lignende regel bør vedtages med hensyn til "%"-symbolet, som kan bruges i url-kodning. Procentdele bruges dog også i "ren" html til at indstille de relative størrelser af elementer. Farlige kombinationer er dem, hvor "%"-tegnet umiddelbart efterfølges af et bogstav eller tal.

I modsætning til JavaScript-fortolkere i browsere tillader PHP-fortolkeren på serveren ikke friheder ved skrivning af programtekst. Derfor, for at neutralisere et muligt serverscript, er det nok fuldstændigt at erstatte i brugerens HTML-meddelelse alle de tegn, der er essentielle, når man skriver et PHP-program med deres HTML-primitiver. De, der skal udskiftes, er først og fremmest dollar- og understregningstegn, punktum, parenteser, firkantede og krøllede parenteser, plus- og minustegn og skråstreg.

$message er html-meddelelsen modtaget fra den visuelle editor til serveren.

// husk længden af ​​beskeden $lenmessage = strlen($message); // klip kommentartagget $message = preg_replace("//", "", $message); // skær alle tags ud, hvori "src"-attributten refererer til en ekstern ressource $message = preg_replace("/]+?src[\w\W]+\/\/[^>]+?>/i" , " ", $meddelelse); // skær alle tags ud, der indeholder et hvilket som helst tegn undtagen: - a-z 0-9 / . : ; " = % # mellemrum $message = preg_replace("/]+[^->a-z0-9\/\.\:\;\"\=\%\#\s]+[^>]+?> /i", "", $meddelelse); // skær alle tags ud, der indeholder sekvensen ". a-z =" $message = preg_replace("/]+?\.+?\=[^>]+?>/i", "", $message); // skær alle tags ud, der indeholder sekvensen "% a-z" eller "% 0-9" $message = preg_replace("/]+?\%+?[^>]+?>/i", "", $ besked); // skær alle tags ud, der indeholder sekvensen "script" eller "js:" $message = preg_replace("/]*?script[^>]*?>/i", "", $message); $message = preg_replace("/]*?js:[^>]*?>/i", "", $message); // skær alle tags ud, der starter med et andet tegn end "a-z" eller "/" $message = preg_replace("/]*?>/i", "", $message); // check: hvis beskeden er forkortet, så afslut programmet $lenmessage2 = strlen($message); if ($lenmessage != $lenmessage2) ( print "Meddelelsen kan ikke tilføjes"; exit; ) // udfør ende-til-ende udskiftning af farlige tegn med deres tilsvarende primitiver $message = str_replace("$", "$" , $meddelelse); $message = str_replace("_", "_", $message); $message = str_replace(".", ".", $message); $message = str_replace(chr(92), "\", $message); // \ $message = str_replace("(", "(", $message); $message = str_replace()", ")", $message); $message = str_replace("[", "[", $message); $message = str_replace("]", "]", $message); $message = str_replace("(", "(", $message); $message = str_replace()", ")", $message); $message = str_replace("?", "?", $message); // nu er beskeden verificeret, scripts i den er blevet neutraliseret

Det skal bemærkes, at filteret ikke fjerner parrede tags. Lad os sige, at vi fik
Klik her!
Filteret vil kun udskære , men det parrede (lukkende) tag forbliver. Hvis du sender beskeder, der indeholder tags uden tilsvarende par, til browseren, kan du opleve problemer i form af en "skævhed" af webstedet. Det vides ikke, hvilket åbningstag browseren vil matche det resterende uparrede lukketag. Derfor, og også af sikkerhedsmæssige årsager, bør beskeder, hvor noget er blevet skåret ud af filteret, slet ikke sendes til browseren. Det er bedre at udskrive noget som "Meddelelsen kunne ikke tilføjes" og afslutte programmet.

Meddelelsen forventes at blive skrevet til en fil (ikke til en database).

Jeg vil være taknemmelig for kritik. Skriv til supportforummet i afsnittet

1. Pak den ud i webstedsmappen.
2. følg linket your_site/fscure/
3. alt

1. Automatisk søgning efter virus ved hjælp af signaturer.
2. Søg efter en streng i filer
3. Sletning af filer
4. Patch ondsindet kode ved hjælp af regulære udtryk

Scriptet vil ikke gøre alt arbejdet for dig og kræver en vis minimal viden. Det anbefales at lave en sikkerhedskopi af webstedet inden arbejdet.

Når den først startes, opretter den et indeks over filer. Filen fscure.lst er i mappen. Viser en liste over filer, der indeholder potentielt ondsindede signaturer. "Potentielt ondsindet" betyder, at du skal afgøre, om det er en virus eller ej. Listen over signaturer er konfigureret i filen config.php, konstant SCAN_SIGN. Med standardindstillinger tjekker scriptet ikke js-filer og indeholder ikke signaturer for dem.

1. opretter ikke fscure.lst-indekset. Kan ske, hvis der ikke er nok rettigheder. Sæt 777 på fscure-mappen

2. 5xx fejl. Oftest "504 Gateway Time-out". Scriptet har ikke tid til at behandle og går ned på grund af en timeout. I dette tilfælde er der flere måder at fremskynde sit arbejde på. Hastigheden afhænger primært af indeksets størrelse. Det er i filen fscure.lst. Typisk kan en fil på op til 5 MB behandles i 90 % af tilfældene. Hvis det ikke har tid, kan du reducere scriptets "grådighed" ved at forbyde scanning af *.jpg;*.png;*.css i konfigurationen.
I filen config.php.

// afgrænser; define("FILES_EXCLUDE","*.js;*.jpg;*.png;*.css");

3. Hosting udsteder en advarsel som
(HEX)base64.inject.unclassed.6: u56565656: /var/www/u65656565/data/www/34535335353.ru/fscure/index.php

Der er ingen virus i scriptet, og det har der aldrig været. Og (HEX)base64.inject.unclassed.6 er en konstruktion som "echo base64_decode(" , som man ofte støder på og i sig selv er ret harmløs. Men i den seneste version erstattede jeg denne kode.

Du kan kontakte mig for at få hjælp. Mine priser er beskedne. Jeg garanterer mit arbejde i 6 måneder. Omkostningerne ved arbejdet er 800 rubler. for 1 websted. Hvis der er flere sider på din konto, bestemmes prisen individuelt.

Hvis det lykkedes dig at gøre alt selv, ville jeg være taknemmelig for en økonomisk belønning eller et link til min side.

Mine krav:
yandex
41001151597934

webmoney
Z959263622242
R356304765617
E172301357329

Ondsindet kode kommer ind på webstedet gennem uagtsomhed eller ondsindet hensigt. Formålet med ondsindet kode varierer, men i det væsentlige skader eller forstyrrer den den normale drift af et websted. For at fjerne ondsindet kode på WordPress skal du først finde den.

I udseende er ondsindet kode oftest et sæt bogstaver og symboler i det latinske alfabet. Faktisk er dette en krypteret kode, som den eller den handling udføres med. Handlingerne kan være meget forskellige, for eksempel bliver dine nye indlæg straks offentliggjort på en tredjepartsressource. Dette er i bund og grund at stjæle dit indhold. Koder har også andre "opgaver", for eksempel at placere udgående links på webstedets sider. Opgaverne kan være de mest sofistikerede, men én ting er klar: ondsindede koder skal jages og fjernes.

Der er også mange smuthuller for koder at komme ind på siden.

Lad mig bemærke med det samme, at det er svært at bekæmpe sådanne vira, og manuel fjernelse kræver viden. Der er tre løsninger på problemet: Den første løsning er at bruge antivirus-plugins, for eksempel et plugin kaldet BulletProof Security.

Denne løsning giver gode resultater, men tager tid, om end lidt. Der er en mere radikal løsning til at slippe af med ondsindede koder, herunder komplekse vira, som er at gendanne webstedet fra tidligere lavet sikkerhedskopier af webstedet.

Da en god webmaster gør dette med jævne mellemrum, kan du rulle tilbage til en ikke-inficeret version uden problemer. Den tredje løsning er for de rige og dovne, bare kontakt et specialiseret "kontor" eller en individuel specialist.

Det er vigtigt at forstå, at ondsindet kode på WordPress kan være i enhver fil på webstedet, og ikke nødvendigvis i arbejdstemaet. Han kan komme med et plugin, et tema eller "hjemmelavet" kode taget fra internettet. Der er flere måder at forsøge at finde ondsindet kode på.

Metode 1: Manuelt. Du ruller gennem alle webstedets filer og sammenligner dem med filerne i en uinficeret sikkerhedskopi. Hvis du finder en andens kode, skal du slette den.

Metode 2: Brug af WordPress Security Plugins. For eksempel, . Dette plugin har en fantastisk funktion, der scanner webstedsfiler for tilstedeværelsen af ​​andres kode, og plugin'et klarer denne opgave perfekt.

Metode 3. Hvis du har rimelig support-hosting, og det ser ud til, at der er en anden på webstedet, så bed dem om at scanne dit websted med deres antivirus. Deres rapport viser alle inficerede filer. Åbn derefter disse filer i en teksteditor og fjern den ondsindede kode.

Metode 4. Hvis du kan arbejde med SSH-adgang til webstedsbiblioteket, så gå videre, det har sit eget køkken.

Vigtig! Uanset hvordan du søger efter ondsindet kode, før du søger og derefter sletter koden, skal du lukke adgangen til webstedets filer (slå vedligeholdelsestilstand til). Husk om koder, der i sig selv gendannes, når de slettes.

Der er sådan en funktion i PHP kaldet eval. Det giver dig mulighed for at udføre enhver kode på dens linje. Desuden kan koden krypteres. Det er på grund af kodningen, at den ondsindede kode ligner et sæt bogstaver og symboler. To populære kodninger er:

Følgelig ser eval-funktionen i disse kodninger sådan ud:

• eval(base64_decode(...))
• eval (str_rot13 (...)) //i interne anførselstegn, lange, uklare sæt bogstaver og symboler..

Algoritmen til at søge efter ondsindet kode ved hjælp af eval-funktionen er som følger (vi arbejder fra det administrative panel):

• gå til webstedseditoren (Udseende→ Editor).
• kopier filen functions.php.
• åbn den i en teksteditor (for eksempel Notesblok++) og søg efter ordet: eval.
• Hvis du finder det, skal du ikke skynde dig at slette noget. Du skal forstå, hvad denne funktion "beder" om at blive udført. For at forstå dette skal koden afkodes. Til afkodning findes der online værktøjer kaldet dekodere.

Dekodere virker ganske enkelt. Du kopierer den kode, du vil dekryptere, indsætter den i dekoderfeltet og afkoder.

I skrivende stund fandt jeg ikke en eneste krypteret kode fundet i WordPress. Jeg fandt koden fra Joomlas hjemmeside. I princippet er der ingen forskel på at forstå afkodning. Lad os se på billedet.

Som du kan se på billedet, viste eval-funktionen efter afkodning ikke en frygtelig kode, der truer webstedets sikkerhed, men et krypteret copyright-link fra skabelonens forfatter. Den kan også fjernes, men den kommer tilbage efter opdatering af skabelonen, hvis du ikke bruger .

Afslutningsvis vil jeg gerne bemærke, for ikke at få en virus på webstedet:

• Ondsindet kode på WordPress kommer ofte med temaer og plugins. Installer derfor ikke skabeloner og plugins fra "venstre", uverificerede ressourcer, og hvis du gør det, tjek dem omhyggeligt for tilstedeværelsen af ​​links og eksekutive funktioner i PHP. Efter installation af plugins og temaer fra "ulovlige" ressourcer, skal du tjekke webstedet med antivirussoftware.
• Sørg for at lave periodiske sikkerhedskopier og udføre andre.

WordPress er et af de mest populære indholdsstyringssystemer, der bruges til en række forskellige formål, lige fra blogging til e-handel. Der er et bredt udvalg af WordPress plugins og temaer. Det sker, at nogle af disse udvidelser falder i hænderne på webmastere, efter at en angriber har arbejdet på dem.

Til sin egen fordel kunne han efterlade reklamelinks eller kode i dem, som han vil administrere dit websted med. Mange WordPress-brugere har ikke meget erfaring med webprogrammering og ved ikke, hvordan de skal håndtere denne situation.

For dem gennemgik jeg ni af de mest effektive værktøjer til at opdage ondsindede ændringer i koden på et kørende websted eller installerede tilføjelser.

Theme Authenticity Checker (TAC) er et WordPress-plugin, der scanner hvert installeret tema for mistænkelige elementer som usynlige links eller Base64-krypteret kode.

Efter at have opdaget sådanne elementer, rapporterer TAC dem til WordPress-administratoren, hvilket giver ham mulighed for selvstændigt at analysere og om nødvendigt rette kildetemafilerne:

Exploit Scanner scanner hele dit websteds kildekode og WordPress-databaseindhold for tvivlsomme indeslutninger. Ligesom TAC forhindrer dette plugin ikke angreb eller bekæmper deres konsekvenser automatisk.

Det viser kun opdagede symptomer på infektion til webstedsadministratoren. Hvis du vil fjerne ondsindet kode, skal du gøre det manuelt:

Sucuri er en velkendt WordPress sikkerhedsløsning. Sucuri Security-plugin'et overvåger filer, der er uploadet til et WordPress-websted, vedligeholder sin egen liste over kendte trusler og giver dig også mulighed for at fjernscanne webstedet ved hjælp af den gratis Sucuri SiteCheck-scanner. For et abonnementsgebyr kan du yderligere styrke dit websteds beskyttelse ved at installere en kraftfuld firewall Sucuri Website Firewall:

Anti-Malware er et plugin til WordPress, der kan finde og fjerne trojanske scripts, bagdøre og anden ondsindet kode.

Indstillinger for scanning og sletning kan tilpasses. Dette plugin kan bruges efter registrering gratis på gotmls.

Pluginnet får regelmæssigt adgang til producentens websted, sender malware-detektionsstatistikker og modtager opdateringer. Derfor, hvis du ikke ønsker at installere plugins på dit websted, der overvåger dets drift, bør du undgå at bruge Anti-Malware:

WP Antivirus Site Protection er et plugin, der scanner alle filer, der er uploadet til et websted, inklusive WordPress-temaer.

Pluginnet har sin egen signaturdatabase, som automatisk opdateres via internettet. Det kan fjerne trusler automatisk, underrette webstedets administrator via e-mail og meget mere.

Pluginnet er installeret og fungerer gratis, men har flere betalte tilføjelser, som er værd at være opmærksomme på:

AntiVirus til WordPress er et brugervenligt plugin, der kan scanne dit websted regelmæssigt og give dig besked om sikkerhedsproblemer via e-mail. Pluginnet har en brugerdefineret hvidliste og andre funktioner:

Quterras scanner tjekker en hjemmeside for sårbarheder, tredjeparts kodeindsprøjtninger, vira, bagdøre osv. Scanneren har så interessante funktioner som heuristisk scanning og detektering af eksterne links.

Grundlæggende scannerfunktioner er gratis, mens nogle ekstra tjenester vil koste dig $60 om året:

Hvis du leder efter en omfattende løsning på dit websteds sikkerhedsproblemer, skal du ikke lede længere end Wordfence.

Dette plugin giver konstant beskyttelse til WordPress mod kendte typer angreb, to-faktor autentificering, understøttelse af en "sortliste" af IP-adresser på computere og netværk, der bruges af hackere og spammere, og scanning af webstedet for kendte bagdøre.

Dette plugin er gratis i sin grundlæggende version, men det har også premium-funktionalitet, som producenten anmoder om et beskedent abonnementsgebyr for:

Wemahu overvåger ændringer i dit websteds kode og søger efter skadelig kode.

Databasen, hvor malware er opdaget, genopfyldes ved hjælp af crowdsourcing-metoden: brugerne selv genopfylder den ved at sende resultaterne af scanning af inficerede WordPress-installationer til plugin-forfatterens websted. Pluginnet understøtter også afsendelse af rapporter via e-mail og andre nyttige funktioner.

Livets sandhed er, at siden kan blive hacket før eller siden. Efter succesfuld udnyttelse af sårbarheden forsøger hackeren at få fodfæste på webstedet ved at placere hacker-webskaller og -downloadere i systemmapper og introducere bagdøre i scriptkoden og CMS-databasen.

Scannere hjælper med at opdage indlæste web-shells, bagdøre, phishing-sider, spam-e-mailere og andre typer af ondsindede scripts - alt det, de kender og er på forhånd føjet til signaturdatabasen med skadelig kode. Nogle scannere, såsom AI-BOLIT, har et sæt heuristiske regler, der kan detektere filer med mistænkelig kode, som ofte bruges i ondsindede scripts, eller filer med mistænkelige attributter, som kan downloades af hackere. Men selvom der bruges flere scannere på hostingen, kan der desværre være situationer, hvor nogle hacker-scripts forbliver uopdagede, hvilket faktisk betyder, at angriberen står tilbage med en "bagdør" og kan hacke siden og få fuld kontrol over den. til enhver tid. øjeblik.

Moderne malware- og hackerscripts er væsentligt forskellige fra dem for 4-5 år siden. I øjeblikket kombinerer udviklere af ondsindet kode sløring, kryptering, dekomponering, ekstern indlæsning af ondsindet kode og andre tricks for at narre antivirussoftware. Derfor er sandsynligheden for at gå glip af ny malware meget højere end før.

Hvad kan der gøres i dette tilfælde for mere effektivt at opdage vira på webstedet og hacker-scripts på hostingen? Det er nødvendigt at bruge en integreret tilgang: indledende automatiseret scanning og yderligere manuel analyse. Denne artikel vil diskutere muligheder for at opdage skadelig kode uden scannere.

Lad os først se på, hvad du præcis skal kigge efter under et hack.

Så lad os antage, at du allerede har tjekket filerne på hostingen og databasedumpen med scannere, men de fandt ikke noget, og virussen er stadig på siden, eller den mobile omdirigering fortsætter med at fungere, når du åbner sider. Hvordan søger man videre?

På unix er det svært at finde et mere værdifuldt kommandopar til at finde filer og fragmenter end find / grep.

Find . -navn '*.ph*' -mtime -7

vil finde alle filer, der er blevet ændret i den sidste uge. Nogle gange "vrider" hackere ændringsdatoen for scripts for ikke at opdage nye scripts. Så kan du søge efter php/phtml-filer, hvis attributter er ændret

Find . -navn '*.ph*' -сtid -7

Hvis du skal finde ændringer i et bestemt tidsinterval, kan du bruge det samme fund

Find . -navn '*.ph*' -newermt 2015-01-25 ! -newermt 2015-01-30 -ls

For at søge filer er grep uundværligt. Det kan søge rekursivt gennem filer efter et bestemt fragment

grep -ril ‘stummann.net/steffen/google-analytics/jquery-1.6.5.min.js’ *

Når du hacker en server, er det nyttigt at analysere filer, der har guid/suid-flaget sat

find / -perm -4000 -o -perm -2000

For at afgøre, hvilke scripts der i øjeblikket kører og indlæser hosting-CPU'en, kan du ringe

lsof +r 1 -p `ps axww | grep httpd | grep -v grep | awk ‘ ( if(!str) ( str= ) else ( str=str””))END(print str)’` | grep vhosts | grep php

Webserver, e-mail-tjeneste og FTP-logfiler kan bruges til at opdage ondsindede scripts og hacker-scripts.

• At korrelere datoen og klokkeslættet for afsendelse af et brev (som kan findes fra mailserverloggen eller serviceheaderen på et spambrev) med anmodninger fra access_log hjælper med at identificere metoden til at sende spam eller finde spamafsenderens script.

• Analyse af FTP xferlog-overførselsloggen giver dig mulighed for at forstå, hvilke filer der blev downloadet på tidspunktet for hacket, hvilke der blev ændret og af hvem.

• I en korrekt konfigureret mailserverlog eller i serviceheaderen på en spam-e-mail, hvis PHP er korrekt konfigureret, vil der være et navn eller fuld sti til afsenderscriptet, som hjælper med at bestemme kilden til spam.

• Ved hjælp af logfilerne for proaktiv beskyttelse af moderne CMS og plugins kan du bestemme, hvilke angreb der blev udført på webstedet, og om CMS'et var i stand til at modstå dem.

• Ved at bruge access_log og error_log kan du analysere en hackers handlinger, hvis du kender navnene på de scripts, han kaldte, IP-adressen eller brugeragenten. Som en sidste udvej kan du se POST-anmodninger den dag, hvor webstedet blev hacket og inficeret. Ofte giver analysen dig mulighed for at finde andre hacker-scripts, der blev downloadet eller allerede var på serveren på tidspunktet for hacket.

Det er meget nemmere at analysere et hack og lede efter ondsindede scripts på et websted, hvis du sørger for dets sikkerhed på forhånd. Proceduren for integritetstjek hjælper med rettidigt at opdage ændringer i hosting og bestemme kendsgerningen om hacking. En af de enkleste og mest effektive måder er at sætte webstedet under et versionskontrolsystem (git, svn, cvs). Hvis du konfigurerer .gitignore korrekt, ser ændringskontrolprocessen ud som at kalde kommandoen git status, og søgning efter ondsindede scripts og ændrede filer ligner git diff.

Du vil også altid have en sikkerhedskopi af dine filer, hvortil du kan "rulle tilbage" siden i løbet af få sekunder. Serveradministratorer og avancerede webmastere kan bruge inotify, tripwire, auditd og andre mekanismer til at spore adgang til filer og mapper og overvåge ændringer i filsystemet.

Desværre er det ikke altid muligt at konfigurere et versionskontrolsystem eller tredjepartstjenester på serveren. I tilfælde af delt hosting vil det ikke være muligt at installere et versionskontrolsystem og systemtjenester. Men det gør ikke noget, der er en hel del færdige løsninger til CMS. Du kan installere et plugin eller et separat script på webstedet, der sporer ændringer i filer. Nogle CMS implementerer allerede effektiv ændringsovervågning og en integritetskontrolmekanisme (for eksempel Bitrix, DLE). Som en sidste udvej, hvis hostingen har ssh, kan du oprette et reference snapshot af filsystemet med kommandoen

Kampagnen er gyldig indtil udgangen af ​​måneden.

Når du aktiverer tjenesten "Site under overvågning" for en hjemmeside, er den anden på samme konto forbundet gratis. Efterfølgende websteder på kontoen - 1.500 rubler om måneden for hvert websted.