दुर्भावनापूर्ण कोड से संक्रमित साइट फ़ाइलों की सफाई। विस्तार

शुभ दोपहर, प्रिय Habrausers!

यह लेख इस लेख की तार्किक निरंतरता है। उपयोगकर्ता Agel_Nash द्वारा छोड़ी गई टिप्पणियों में से एक में एक नया वायरस हस्ताक्षर दर्शाया गया था। हमले के अधीन फाइलें - * .js।

हमारे कई ग्राहकों की साइटें जो एफ़टीपी एक्सेस को बदलने, मैलवेयर से अपनी मशीनों को साफ़ करने और एफ़टीपी ग्राहकों को बदलने की हमारी सिफारिशों का पालन नहीं करती थीं, इस वायरस से संक्रमित थीं। निम्न कोड * .js फ़ाइल में लिखा गया है : pastebin.com/2PWJycAd । इसे एक पंक्ति में रखा जाता है और फ़ाइल के अंत में सख्ती से लागू किया जाता है।

सरल जोड़तोड़ का उपयोग करते हुए, कोड को हटा दिया गया था। जो लोग रुचि रखते हैं, मैं एक पठनीय नज़र पोस्ट करता हूं: दिए गए कोड का (एक समान कोड पहले ही MrMYSTIC द्वारा इंगित किया गया था )।
निर्विवाद रूप से सबसे सरल तरीके से किया गया। मैं jsfield में गया और eval के बजाय जनरेट किए गए कोड को पेज पर लाया। यह सरल जोड़तोड़ करता है, अर्थात् निम्नलिखित: पथ का निर्माण करता है। जो काम किया।

साइटों को साफ करने के लिए, मैंने एक स्कैनर का उपयोग किया, जिसके बारे में मैंने पिछले लेख में लिखा था। हालांकि, मैंने टिप्पणियों में टिप्पणियों को ध्यान में रखते हुए, थोड़ा "कंघी" करने का फैसला किया। चारोन और प्रो 100tak की रचनात्मक आलोचना के लिए विशेष धन्यवाद (यदि मैं वोट दे सकता था तो + डालूँगा )।

एल्गोरिथ्म पुराना है, फाइलों में लाइन से लाइन काम करता है। इसलिए, यह पहचानना आवश्यक था कि स्कैनर को किस पर पकड़ना चाहिए।

निर्दिष्ट Agel_Nash के आधार पर, हालांकि, स्कैनर ने अप्रत्याशित रूप से कम संख्या में संक्रमित फ़ाइलों को दिखाया। यह अजीब है, क्योंकि भले ही हजारों नहीं, लेकिन सैकड़ों .js परियोजना में फाइलें, निश्चित रूप से। मैंने खुदाई और सही तरीके से, विश्वास करना शुरू किया लेकिन सत्यापित किया। चयनित हस्ताक्षर इस तथ्य के मद्देनजर हर जगह नहीं पाए गए कि यह परिमित नहीं है। चुनिंदा रूप से एक दूसरे की निर्देशिकाओं से अलग-अलग दूरी पर कई फाइलों की जाँच करते हुए, कुछ विकल्पों का खुलासा किया गया:

)try{Boolean().prototype.q}catch(egewgsd){f=[ 

और

 )try{Date().prototype.q}catch(egewgsd){f=[ 

अंतर छोटा है और कुछ शब्दों में समाहित है:

 Date()  Boolean() 

संभवतः, सभी डेटा प्रकारों को इस तरह से सॉर्ट किया जा सकता है: तारीखें, संख्याएं, तार, और बहुत कुछ। ठीक है, तो हम बाकी लाइन लेते हैं, अर्थात्:

 ().prototype.q}catch(egewgsd){f=[ 

इस बार, स्कैनर ने उन सभी फाइलों को दिखाया जो इस वायरस से संक्रमित थीं। आपको क्या चाहिए! यह Jquery, फैंसीबॉक्स और कुछ और पुस्तकालयों की जांच करने के लिए बनी हुई है। विशुद्ध रूप से ... उनके स्रोत कोड में कोई प्रविष्टियाँ नहीं मिलीं। महान, आप इसका उपयोग कर सकते हैं।

मैंने स्कैनर को थोड़ा बदल दिया और इसे शुरू किया। उसने फिर से योजना के अनुसार काम किया, निराश नहीं किया।

परिवर्तन:
- हस्ताक्षर की एक सूची एकत्र करना शुरू कर दिया (फिलहाल उनमें से दो हैं, आप वांछित लाइन के पैरामीटर के बिना स्कैनर शुरू कर सकते हैं);
- इंगित करता है कि फ़ाइल में कौन से हस्ताक्षर पाए गए हैं;
- बैकअप (डिलीट_बैकअप ()) को हटाने के लिए जोड़ा गया फंक्शन;
- कार्यों को मापदंडों के बिना बुलाया जा सकता है (इस मामले में, डिफ़ॉल्ट का उपयोग किया जाता है):

  $dron->find(); $dron->scan(); $dron->restore_backups(); $dron->delete_backups(); 

- स्कैनर के साथ काम करने के दौरान निर्देशिका के मालिक को बदलने के लिए अतिरिक्त कार्यक्षमता, लेकिन मैंने इस अनुभाग पर टिप्पणी की। मैं परीक्षण नहीं कर सका:

  /* //     $unformated_path_stat = stat($path); $path_stat = posix_getpwuid($unformated_path_stat['uid']); $path_user_name = $path_stat['name']; //     chown($path, 'www'); */ ... //     // chown($path, $path_user_name); 

- जोड़ा फ़ंक्शन dir_content () जो सभी फ़ाइलों को एक सरणी में इकट्ठा करता है, जिसे बाद में अन्य सभी कार्यों द्वारा उपयोग किया जाता है;
- स्कैन करते समय, यह खुद को अनदेखा करता है।

मैं विस्तृत टिप्पणी के साथ अद्यतन स्कैनर का कोड लाता हूं:

 <? /* ---------------------------------------------------------------------------------- dScaner Class - START ---------------------------------------------------------------------------------- */ /** * @param : dScaner * @param :          *    * * @param :   * @param  : 0.0.5 (13-04-2012) * */ Class dScaner { //   private $arr_files = array(); //     public $signatures = array( '=Array.prototype.slice.call(arguments).join(""),', '().prototype.q}catch(egewgsd){f=[' ); /** *      * * @param string $get_str   * @param string $separator     * @return array -    FALSE */ function request($get_str, $separator) { if (!empty($get_str)) { //        $obj = explode($separator, $get_str); return $obj; } else { return false; } } /** *       * * @param string $path -   ,      * @param string $files_allowed -  ,    */ function dir_content($path = './', $files_allowed = '.') { //      ,    $dir_disallow = array('.', '..', '.htaccess', '.git', 'zlordwaters'); if(is_dir($path)) { $temp = opendir($path); while (false !== ($dir = readdir($temp))) { if ((is_dir($path . $dir)) && (!in_array($dir, $dir_disallow)) ) { //   -   $sub_dir = $path . $dir . '/'; $this->dir_content($sub_dir, $files_allowed); } elseif ((is_file($path . $dir)) && (!in_array($dir, $dir_disallow)) && (strpos($dir, $files_allowed) == true) && (strpos($dir, '_BACKUP') == false) && (strpos($dir, trim($_SERVER['SCRIPT_NAME'], '/')) === false) ) { //  ,     $this->arr_files[] = $path . $dir; } } closedir($temp); } } /** *       : * * @param string $path -   ,      * @param string $files_allowed -  ,    * @param string $requested_string -   */ function find($path = './', $files_allowed = '.', $requested_string = '().prototype.q}catch(egewgsd){f=[') { //      $this->dir_content($path, $files_allowed); foreach($this->arr_files AS $in_dir_file) { //     $temporary_file = file_get_contents($in_dir_file); //      $file_founded = false; //     $tf_strings = explode("\n", $temporary_file); //    foreach ($tf_strings AS $item) { //     $item = strval($item); if (strpos($item, $requested_string) !== false) { $file_founded = true; $founded_str = $requested_string; } //     foreach ($this->signatures AS $signa) { $signa = strval($signa); if (strpos($item, $signa) !== false) { $file_founded = true; $founded_str = $signa; } } } //      if ($file_founded) { //         print "<span style='display:block; padding:5px; border:1px solid #1f4f18; background-color:#d5f5ce; font-size:12px; line-height:16px; font-family:tahoma, sans-serif; margin-bottom:-15px;'><h3>" . $in_dir_file . "</h3>     . <br> C: <b>" . $founded_str . "</b> </span><br>"; } } } /** *    : * * @param string $path -   ,      * @param string $files_allowed -  ,    * @param string $requested_string - ,       */ function scan($path = './', $files_allowed = '.', $requested_string = '().prototype.q}catch(egewgsd){f=[') { //      $this->dir_content($path, $files_allowed); foreach($this->arr_files AS $in_dir_file) { //     $temporary_file = file_get_contents($in_dir_file); //    $create_backup = false; //         $tf_strings = explode("\n", $temporary_file); //    $str_index = 0; //     foreach ($tf_strings AS $item) { //     $item = strval($item); if (strpos($item, $requested_string) !== false) { //        //   ,      $create_backup = true; //       unset($tf_strings[$str_index]); $founded_str = $requested_string; } //     foreach ($this->signatures AS $signa) { $signa = strval($signa); if (strpos($item, $signa) !== false) { //        //   ,      $create_backup = true; //       unset($tf_strings[$str_index]); $founded_str = $signa; } } //     $str_index++; } //   if ($create_backup) { /* //     $unformated_path_stat = stat($path); $path_stat = posix_getpwuid($unformated_path_stat['uid']); $path_user_name = $path_stat['name']; //     chown($path, 'www'); */ //              chmod($path, 0777); //     $temp_file_backup = $in_dir_file.'_BACKUP'; //       file_put_contents($temp_file_backup, $temporary_file); //      $scanned_file = implode("\n", $tf_strings); //    if (file_put_contents($in_dir_file, $scanned_file)) { //   print "<span style='display:block; padding:5px; border:1px solid #1f4f18; background-color:#d5f5ce; font-size:12px; line-height:16px; font-family:tahoma, sans-serif; margin-bottom:-15px;'><h3>" . $in_dir_file . "</h3>  . (+ BACKUP) <br> C: <b>" . $founded_str . "</b> </span><br>"; } else { //    print "<span style='display:block; padding:5px; border:1px solid #822121; background-color:#ea7575; font-size:12px; line-height:16px; font-family:tahoma, sans-serif; margin-bottom:-15px;'><h3>" . $in_dir_file . "</h3>   . C: <b>" . $founded_str . "</b> </span><br>"; } //          755 chmod($path, 0755); //     // chown($path, $path_user_name); } } } /** *     * * @param string $path -   ,      * @param string $files_allowed -  ,    */ function restore_backups($path = './', $files_allowed = '.') { //      $this->dir_content($path, $files_allowed); foreach($this->arr_files AS $in_dir_file) { if (is_file($in_dir_file.'_BACKUP')) { //  ,    $temporary_file_from_backup = file_get_contents($in_dir_file.'_BACKUP'); //    if (file_put_contents($in_dir_file, $temporary_file_from_backup)) { //   unlink($_SERVER['DOCUMENT_ROOT'].'/'.$in_dir_file.'_BACKUP'); //   print "<span style='display:block; padding:5px; border:1px solid #1f4f18; background-color:#d5f5ce; font-size:12px; line-height:16px; font-family:tahoma, sans-serif; margin-bottom:-15px;'><h3>".$in_dir_file ."</h3> . </span><br>"; } else { //    print "<span style='display:block; padding:5px; border:1px solid #822121; background-color:#ea7575; font-size:12px; line-height:16px; font-family:tahoma, sans-serif; margin-bottom:-15px;'><h3>".$in_dir_file ."</h3>  . </span><br>"; } } } } /** *     * * @param string $path -   ,       * @param string $files_allowed -  ,    */ function delete_backups($path = './', $files_allowed = '.') { //      $this->dir_content($path, $files_allowed); foreach($this->arr_files AS $in_dir_file) { if (is_file($in_dir_file.'_BACKUP')) { //  ,   if (unlink($_SERVER['DOCUMENT_ROOT'].'/'.$in_dir_file.'_BACKUP')) { print " <span style='display:block; padding:5px; border:1px solid #1f4f18; background-color:#d5f5ce; font-size:12px; line-height:16px; font-family:tahoma, sans-serif; margin-bottom:-15px;'><h3>".$in_dir_file ."_BACKUP</h3> . </span><br>"; } else { //    print "<span style='display:block; padding:5px; border:1px solid #822121; background-color:#ea7575; font-size:12px; line-height:16px; font-family:tahoma, sans-serif; margin-bottom:-15px;'><h3>".$in_dir_file ."_BACKUP</h3>  . </span><br>"; } } } } } /* ---------------------------------------------------------------------------------- dScaner Class - END ---------------------------------------------------------------------------------- */ ?> 

खैर, बुनियादी खोज मापदंडों के साथ उपयोग का एक उदाहरण।

 <? //    -  $dron = new dScaner; //       $dron->find('./', '.'); //   // $dron->scan('./', '.'); //    // $dron->restore_backups('./', '.'); //    // $dron->delete_backups('./', '.'); ?> 

यह वास्तव में वह सब है जो मैं आपके साथ साझा करना चाहता था।
आप और उनके स्थिर संचालन के लिए साफ सर्वर।
सादर प्रणाम!