Come posso rilevare se è stato eseguito un exploit webshell?

Question

Come posso rilevare se è stato eseguito un exploit webshell?

#1 da (1 voti)

0

Il mio forum eseguiva MyBB 1.6.10 e maldet ha trovato un file JPG con webshell by Orb codice malware alla fine ( php.cmdshell.unclassed.352 ). Sto utilizzando nginx e mi sono assicurato che i file arbitrari vengano elaborati come file PHP per questo guida .

Ancora: come potrei verificare se l'exploit è stato effettivamente eseguito dal file JPG malformato che l'utente malintenzionato ha caricato come avatar?

php malware

posta Dan Dascalescu 09.08.2014 - 02:36

fonte

1 risposta

Leggi altre domande sui tag php malware

Glibc usa il canary check per prevenire l'overflow del buffer heap? come tracciare o ottenere prove che sei stato violato [chiuso]

score 1 · Answer 1

Puoi eseguire un test automatico di penna di:

Eseguendo quel file php nel tuo caso il file jpeg arbitrario nel tuo browser e vedi se visualizza o esegue un semplice comando Linux dice ls .

Esempio : diciamo che il file jpeg è nel tuo <path>/uploads/ potresti essere in grado di ottenere una shell dal tuo browser se inserisci http://yourSite.com/uploads/shell.jpeg

È inoltre possibile rilevare tali malware Web analizzando i registri di accesso HTTP. Perché questi malware dipendono dal protocollo HTTP con il server ewb che serve le richieste; dovrebbe registrare tutti gli accessi e gli errori. Per Nginx i tuoi log dovrebbero essere sotto
- access: /var/log/nginx/access.log
- error: /var/log/nginx/error.log

Esempio : cat /var/log/nginx/access.log | grep -i 'name_of_file.jpeg.php'

Nota: non vuoi rimuovere il malware web finché non vedi ciò che l'uploader ha fatto o sta facendo al tuo server, così puoi recuperare da qualsiasi danno.

Post Mitigation : dopo aver mitigato il danno, correggere la vulnerabilità dell'applicazione aggiornando per limitare chi può caricare i file, inoltre si consiglia di disabilitare l'esecuzione di PHP interamente nella cartella /uploads/ (< a href="http://www.goitworld.com/disable-php-execute-of-special-directory-of-nginx/"> how? )