У меня есть сервер, на котором работала старая версия lighttpd (1.4.19 на машине freebsd 6.2-RELEASE (да, старая)), и Google предупредил меня, что обнаружил вредоносное ПО, встроенное в одну из страниц моего сервера. Так уж получилось, что это была наша индексная страница. Я быстро удалил вредоносное ПО и начал искать в журналах сервера, как оно туда попало. Не найдя никаких следов в журналах редактируемых файлов, я заметил, что владелец индексной страницы был изменен на www, что является пользователем lighttpd. Затем я пришел к выводу, что для этой версии программного обеспечения, должно быть, существовала какая-то защищенность, и быстро обновился до 1.4.26.
Теперь вредоносное ПО вернулось. Я запустил довольно подробное ведение журнала сервера с ftp, lighttpd и всех попыток входа, чтобы попытаться увидеть, как этот скрипт проникает внутрь. Есть ли у них какие-либо предложения по другим подходам?
решение1
Ваш веб-сайт был скомпрометирован/испорчен, и когда это происходит, обычно очень сложно воссоздать все шаги злоумышленников, и лучшим решением будет переустановить скомпрометированные серверы. С другой стороны, вам нужно провести некоторую экспертизу, чтобы выяснить, что могло произойти, и предотвратить повторение этого.
Вот список вещей, которые стоит проверить:
- проверьте, есть ли известные уязвимости в версиях вашего веб-сервера и FTP-сервера
- просмотрите все возможные файлы журналов, особенно веб-сервера, ftp-сервера и системные. В файлах журналов веб-сервера проверьте сообщения
- есть ли запущенные службы, которые вам не нужны? Доступны ли они из Интернета? Закройте их сейчас, проверьте их журналы и проверьте на возможные известные уязвимости.
- запустить руткит-чекеры. Они не безошибочны, но могут направить вас в правильном направлении. chkrootkit и особенно rkhunter — инструменты для этой работы
- запустите nmap извне вашего сервера и проверьте, не прослушивается ли какой-либо порт, который не должен прослушиваться.
- Если у вас есть приложение rrdtool trending (например, Cacti, Munin или Ganglia), посмотрите на графики и найдите возможные временные рамки атаки.
Также всегда помните следующее:
- отключите все службы, которые вам не нужны
- регулярно делайте резервные копии всего, что вам нужно для восстановления сервера, и проверяйте резервные копии
- следовать принципу наименьших привилегий
- обновляйте свои службы, особенно обновления безопасности
- не используйте учетные данные по умолчанию
Надеюсь это поможет!