Infected Drupal 6 pagina del sito con una shell php

Question

Infected Drupal 6 pagina del sito con una shell php

#1 da (2 voti)
#2 da (0 voti)

0

Ho un server con Drupal 6 che è stato violato e ora accedendo alla pagina principale posso vedere la shell php. Il problema è che non sono riuscito a trovare la shell. I file del sito non sono infetti perché ho copiato tutti i dati del sito web su un altro server e funziona e nessun file è stato modificato nell'ultima settimana. Potrebbe essere il httpd che è stato impegnato? in tal caso, come posso vedere perché i registri non hanno fornito alcun indizio o informazione. Ho scoperto che la shell php si chiama FilesMan ma non riesco a trovarla in nessun file usando il comando: %codice% Vedo uno strano file in / tmp chiamato trolled ... il contenuto del file può essere scaricato da qui

webserver

posta calculataur 11.11.2014 - 11:14

fonte

2 risposte

0

Hai chiesto come trovare il software dannoso su un server compromesso. La risposta breve è che non puoi. Potresti riuscire a trovare alcuni dei componenti installati dal compromesso, ma per essere sicuro, devi essere certo di aver trovato tutto e non puoi farlo. (Con sistemi operativi moderni complessi, equivale a dimostrare un negativo.)

Una volta che una macchina è stata compromessa, la sola cosa sicura da fare è cancellarla e ricostruirla, perché altrimenti non puoi mai essere sicuro di aver rimosso tutto il codice dannoso.

Per il tuo caso particolare, Drupal ha alcuni consigli sul recupero qui: link Non sarà possibile reinstallare il Codice Drupal che hai La macchina ricostruita deve avere solo il codice nuovo, pulito e i dati puliti dal vecchio sito. Un esempio di dati che potrebbero non essere puliti è una tabella delle password. Gli aggressori potrebbero aver creato nuove voci utente o modificato le password delle voci esistenti. Pertanto, dovrai ripristinare la tabella delle password da un backup eseguito prima del compromesso.

risposta data 11.11.2014 - 13:17

fonte

Leggi altre domande sui tag webserver

Esiste una soluzione per l'esecuzione dei processi in modalità crittografata su runtime? non dovrei accettare i cookie per il bene dell'anonimato?

score 2 · Accepted Answer

Il tuo server stesso (non Drupal) è stato compromesso da un exploit Linux (root) locale. Sebbene Drupal possa aver contribuito a ottenere l'exploit sul tuo computer, il tuo computer è stato sfruttato con CVE- 2013-2094 , " semtex.c exploit "

$ md5 fileshare.ro_trolled
MD5 (fileshare.ro_trolled) = ff1e9d1fc459dd83333fd94dbe36229a

$ strings fileshare.ro_trolled | grep -i @fu
[email protected] 2010

Pulizia Drupal non farà nulla per te, io mi sto espandendo su ciò che l'exploit farà reinventando la ruota, puoi leggere su cosa fa l'exploit (da allora è stato portato alla perfezione) qui

Il mio suggerimento inizia da zero con un'installazione pulita. L'unico meccanismo per garantire che nient'altro sia backdoor (top, netstat, ecc.) Dovrebbe essere stato l'esecuzione di Tripwire o qualcosa di simile, dove è possibile tornare indietro e confrontare i checksum con le fonti attendibili.