![找到恶意软件的来源?](https://linux22.com/image/515614/%E6%89%BE%E5%88%B0%E6%81%B6%E6%84%8F%E8%BD%AF%E4%BB%B6%E7%9A%84%E6%9D%A5%E6%BA%90%EF%BC%9F.png)
我有一台服务器运行的是旧版本的 lighttpd(在 freebsd 6.2-RELEASE(是的,旧)机器上运行 1.4.19),然后谷歌提醒我,它在我的服务器的一个页面上发现了恶意软件。它恰好是我们的索引页。我立即删除了恶意软件,并开始查看服务器日志,了解它是如何进入的。在编辑文件的任何日志中都找不到任何痕迹,我注意到索引页的所有者已更改为 www,即 lighttpd 用户。然后我得出结论,该软件版本一定存在某种漏洞,并立即升级到 1.4.26。
现在恶意软件又回来了。我已经开始使用 ftp、lighttpd 和所有登录尝试进行一些非常详细的服务器日志记录,以尝试查看此脚本是如何进入的。他们有没有其他方法的建议?
答案1
您的网站遭到入侵/破坏,发生这种情况时,通常很难重现所有攻击者的步骤,最好的解决方案是重新安装被入侵的服务器。另一方面,您需要进行一些取证,以查明可能发生的事情并防止再次发生。
以下是值得检查的事项列表:
- 查看你的 web 服务器和 ftp 服务器版本中是否存在已知漏洞
- 查看所有日志文件,尤其是 Web 服务器、FTP 服务器和系统日志文件。在 Web 服务器日志文件中,检查帖子
- 是否有任何您不需要的服务正在运行?它们可以从互联网访问吗?立即关闭它们,检查它们的日志并检查可能的已知漏洞。
- 运行 rootkit 检查器。它们并非万无一失,但可以引导您找到正确的方向。chkrootkit 和 rkhunter 是完成这项工作的工具
- 从服务器外部运行 nmap 并检查是否有东西在监听不应该监听的端口。
- 如果您有一个 rrdtool 趋势应用程序(如 Cacti、Munin 或 Ganglia),请查看图表并搜索可能发生的攻击时间范围。
此外,请始终牢记这一点:
- 关闭所有不需要的服务
- 备份重建服务器所需的一切,并定期测试备份
- 遵循最小特权原则
- 更新你的服务,尤其是安全更新
- 不要使用默认凭据
希望这可以帮助!