【发布时间】：2012-12-20 16:39:33
【问题描述】：
我想告诉你我的 Drupal 网站遭到恶意软件攻击。不仅是为了您的建议，还要为任何可能因同样问题而受苦的人创造一些有用的东西。嗯……
初始设置
- Drupal 7.9
- 激活的模块：
- 核心：块、上下文链接、数据库日志记录、字段、字段 SQL 存储、字段 UI、文件、过滤器、图像、列表、区域设置、菜单、节点、数字、选项、覆盖、路径、PHP 过滤器、RDF、系统, 分类法, 文本, 工具栏, 用户
- CCK：多选
- 混沌工具套件：混沌工具
- DATA/ORA：日历、日期、日期 API、日期弹出窗口、日期视图
- 字段：电子邮件、字段权限、链接
- 其他：Google Plus One +1、Pathauto、令牌、重量
- 分享：分享这个，分享这个区块
- TAXONOMY MENU：分类菜单
- 视图：视图、视图 PDF 显示、视图 PHP、视图 UI
- 我删除的其他模块：CKEDITOR、VIEWS_SLIDESHOW、IMCE、DOMPDF、PRINT、WYSIWIG
我的设置错误
- 为了满足客户的需求，我修改了一些模块，但我从未更新过它们（AUCH！）
- 客户拥有登录数据，可能他的计算机不安全（嗯...）
- 我没有网站副本，因为我相信提供商每周备份 (DOH!)
攻击外部症状
- 首页的所有链接都重定向到恶意软件网站
- Google 将网站列入黑名单
- Google 网站管理员工具面板上的严重警报
FTP 症状
- 很多“奇怪”的文件：mainma3.php（我在每个文件夹中都找到了这个！）、functoins.php、sum75.html、wlc.html、aol.zip、chas.zip、chasverification.zip、501830549263。 php、wp-conf.php 和十几个 wtmXXXXn.php (dove X = numero) 在根文件夹中。所有这些文件都包含大量恶意函数（unescape、base64_decode、eval 等）
- Install.php 被一长串恶意代码修改
- 每个 javascript 文件都附加了这行代码： ;document.write('');
- 每周备份也被感染
- 在 Drupal 日志面板上发现了数十个重复的“奇怪”请求（我的域被字符串“-----”遮挡）：
- index.php?q=ckeditor/xss > 注意：未定义的偏移量： eval() 中的 5 (linea 29 di /web/htdocs/-----/home/modules/php/php.module(74) : eval()'d 代码(1) : eval()'d 代码）。
- -----/user?destination=node/add > shadowke 登录失败
- calendar/week/2012-W19?year=2011&mini=2012-12 > 找不到页面
- misc/]};P.optgroup=P.option;P.tbody=P.tfoot=P.colgroup=P.caption=P.thead;P.th=P.td;if(!c.support .htmlSerialize)P._default=[1, > 找不到页面
- misc/)h.html(f?c( > 找不到页面
- mail.htm > 找不到页面
恢复[感谢这篇文章：http://25yearsofprogramming.com/blog/20070705.htm]
- 我已将网站置于维护模式 (error503.php + .htaccess)。流量只针对我的 IP 地址开放 [请参阅此实用指南：http://25yearsofprogramming.com/blog/20070704.htm]
- 我已经在本地下载了整个网站
- 我已经搜索并删除了奇怪的文件 > 我找到了四十个
- 我搜索了这些世界的文件 [使用免费软件 AGENT RANSACK]：eval(base64_decode($POST["php"])), eval(, eval (, base64, document .write、iframe、unescape、var div_colors、var _0x、CoreLibrariesHandler、pingnow、serchbot、km0ae9gr6m、c3284d、upd.php、timthumb。> 我采取了以下方式之一：a)我已将 eval 替换为 php_eval() （drupal 的 eval 安全版本）； b) 我已经写下了可疑的模块； c）我已经将代码与新下载的模块进行了比较； d) 我已经删除了所有的恶意代码（参见上面提到的 javascript）
- 我在文件系统中搜索了 mohanges [使用免费软件 WINMERGE]
- 我发现了一些可疑的模块，感谢上面第 4 点写的列表，感谢对 Google 的一些研究（name_of_the_module 安全问题，name_of_the_module 被黑等...）和 Secunia [http:// secunia.com/community/advisories/search]
- 我已扫描我的计算机（Avast、Search&Destroy、Malwarebytes Antimalware）> 我没有发现任何病毒或间谍软件
- 我已更改所有登录名（ftp、cpanel、drupal 管理面板）
- 我已经重新加载了整个网站
- 我已删除所有可疑模块：CKEDITOR、VIEWS_SLIDEWHOW、PRINT、DOMPDF、IMCE、CAPTCHA、WYSIWIG、WEBFORM。
- 我已将整个故事告诉提供者协助
- 我请求 Google 进行修订（他们在 12 小时内完成了）
DRUPAL 立即登录
十几个这样的消息 - wtm4698n.php?showimg=1&cookies=1 > 找不到页面 - fhd42i3d.html > 找不到页面 - wp-conf.php?t2471n=1 > 找不到页面 - -----/user?destination=node/add > Elovogue 登录失败
经验教训
- 切勿触摸模块，以便更新它们
- 将所有登录信息保存在安全的计算机中/使用安全的计算机在 FTP 上工作
- 在安装模块之前搜索任何安全问题
- 在某处保留网站的干净副本
我的问题：
- 我受到了什么样的攻击？
- 我的安装中还有其他不确定的模块吗？
- 我还能做什么？
感谢大家的耐心等待！
【问题讨论】：