![查找攻击者如何创建恶意文件](https://linux22.com/image/609559/%E6%9F%A5%E6%89%BE%E6%94%BB%E5%87%BB%E8%80%85%E5%A6%82%E4%BD%95%E5%88%9B%E5%BB%BA%E6%81%B6%E6%84%8F%E6%96%87%E4%BB%B6.png)
我正在处理一个有问题的 LAMP 服务器,它运行 Apache 2.2、MySQL 5.1 和 PHP 5.2.7(以 nobody 身份运行),并且它的大多数站点都使用已知脚本(如 Joomla、Wordpress 等)的易受攻击的版本。
这是一种相当愚蠢的方法 - 这不是我能控制的 - 但由于网站的核心经过大量定制,将其脚本更新到最新版本对客户来说不是一个解决方案,但我不能永远保持这种搜索和摧毁任务。所以,我希望找到一种方法来跟踪新创建的文件及其来源,例如由 xyz.php 创建的 abc.php
我确信第一个是可能的,但不确定第二个是否可行。
如果您能就此事分享您的想法那就太好了。
PS:由于有数百个站点,更改配置非常困难。虽然这是正确的解决方案,但遗憾的是这不是我想要的解决方案。
答案1
暴风雪中,前门敞开,您只能用镊子清除积雪。
当你无法真正保护系统时,清理真的没有什么意义。这完全是在浪费你的时间和精力。
文件完整性监控工具可以告诉您发生了什么变化,但除非您解决实际的安全漏洞,否则恶意文件会在您删除它们后立即回到原位。
与其进行这种毫无意义的斗争,不如采用更好的安全机制。如果无法更新代码,那么就使用类似 Web 应用程序防火墙的方法来确保 HTTP 请求的安全。然后再努力更新代码。
但是,不要只是安装一个文件完整性监控工具,然后在每次发出警报时进行清理 - 这些工具旨在确保您没有安全漏洞,而不是向您展示今天的漏洞有多严重。 你知道这个系统已经被破解了- 首先,让它处于不存在的状态。