zvirusz Sep 16 2009 at 22:36

Отслеживание iframe

3 min

1.8K

System administration*

+42

Comments 51

FLAKON Sep 16 2009 at 22:48

Спасибо, действительно полезно!

Joka Sep 16 2009 at 22:49

не проблема что вы пхпшник, проблема что ваш код не понятен ни разу… за идею спасибо. хотя я бы на вашем месте еще и по винту бы лазил — да смотрел последние изменения файлов индексных…

-17

zvirusz Sep 17 2009 at 07:25

bash понятнее получился?

FLAKON Sep 16 2009 at 22:57

то что вы не в зуб нагой в пхп не дает вам право стебаться над работой человека! а тру пхпшников щас по пальцам пересчитать можно

hooz Sep 16 2009 at 23:18

да действительно такое бывает редко но все же бывает
идея достойная стоит подумать

FLAKON Sep 16 2009 at 23:24

и зачем минусовать? Оо*????

-2

UFO just landed and posted this here

l0gin Sep 16 2009 at 23:45

Множество iframe-вирусов уже прекрасно диагностируются ClamAV. В свою очередь, прикрутить ClamAV можно и к упомянутому proftpd.

svt Sep 16 2009 at 23:55

Есть такая проблема на мастерхосте.

Пароль менял, у меня мак, больше никто им не владел, всё равно фреймы вставлялись. Хостер естественно как бы не причём, все виной я. Недавно опять вставили, гугль блочит такое, показал такую ссылку, явно проблема у хостера. Как ему это доказать и заставить вылечить? Или только переезд вылечит? _{И меня заодно.}

xy4 Sep 17 2009 at 00:27

Было похоже — тоже мак, тоже все менял. Проверьте тщательнейшим образом все файлы с названиями типа "*index*.*", "*main*.*" итд итп. После того как я все вручную вычистил, больше не появлялась(тьфу-тьфу-тьфу).

CAJAX Sep 17 2009 at 01:21

А можно у них лог соединений попросить?

Лично встречался с такими случаями несколько раз (слава богу не на своем компьютере) и всегда выяснялось, что либо пароль увели, либо троян на лету встраивает свой код при аплоаде. Т.е. на винте вебмастера файлы чисты, е а на сервере уже лежат с заразой.

pietrovich Sep 17 2009 at 01:31

у меня мак

каг-бэ тонко пытались намекнуть что «вирусов нет». хотя кто их, эти маки, разберет. под виндами все понятно: вставился код — гоняем заразу. а вот под маками уверенность в том что «вирусов быть не может» приводит к постоянному откладыванию проверки машны антивирусом. да и дефицит нормальных антивирусов + экзотичность заразы приводят к тому что вирус может и не детектиться длительное время, ибо в лабораторию еще не попадал и препарирован не был.

CAJAX Sep 17 2009 at 01:46

Да, я заметил.

walker Sep 17 2009 at 00:09

а зачем писать логи в базу?
что мешает формировать стату из обычных логов? раз в сутки — это не большая нагрузка.

так же, стоит прикрутить кламав — он находит конечно не все, но всякие php-shell и подобные вещи ищет.

zvirusz Sep 17 2009 at 05:11

мешает Plesk — там для каждого клиента свой лог.

zvirusz Sep 17 2009 at 05:40

Аннет, вру — логи хранятся в одном файле, а потом раскидываются по своим местам. В таком случае ничего не мешает. Буду переписывать.
Спасибо, что ткнули носом :)

zvirusz Sep 17 2009 at 05:12

а по-поводу ClamAV — я r57 и сам иногда использую, так что не подходит

zvirusz Sep 17 2009 at 07:27

Готово — теперь парсится лог.
Ещё раз спасибо.

egorinsk Sep 17 2009 at 00:29

Надо по другому, ловить изменения поражаемых вирусом файлов, делать diff и анализировать на соотвествие типичным регекспам. ТО есть если изменение файла заключается в добавлекнии строчки «iframe src=» или «script document.write()» — паниковать.

zvirusz Sep 17 2009 at 07:25

Переписал код в топике — теперь там нечто подобное. Осталось подумать по-поводу модуля к proftpd, который diff будет создавать.

SeVit Sep 17 2009 at 00:31

Последний раз виденная мной зараза убирала из файла пробелы в начале и в конце строк,
MAX_DUPLICATED_SIZE_DIFF становится бесполезным

odessky Sep 17 2009 at 00:32

Вместо ftp можно заюзать scp по сертификату — поможет

pietrovich Sep 17 2009 at 01:37

до тех пор пока троянцы не научатся уводить не только пароли но и сертификаты. выянить где хранит их путти, ии FAR+WinSCP не составлет труда. и даже OpenVPN (как единственный легкий способ добраться до открытых портов /FTP/SSH/etc на «внутренних» интерфейсах), не гарантирует спокойного сна. я иногда в ужасе просыпаюсь с мыслью что если увести ВСЕ ключи, то сервера останутся беззащитны как голый младенец на хоккейной площадке. а вы? :)

odessky Sep 17 2009 at 13:52

Шифрованный неэкспортируемый сертификат тебе поможет

witdex Sep 17 2009 at 00:34

> Уж извините, но я php'шник :)
да что за паранойя?
php не такой плохой как рисуют его любители smalltalk подхода

AlexeyK Sep 17 2009 at 00:35

Мне кажется искать grep'ом на предмет iframe'ов и посылать админу уведомления гораздо лучше и (!) проще, нежели то, что вы указали, тем более, что мой вариант кроме простоты еще и выполняет ту же функцию, ведь вы решаете задачу не предотвращения заливки и изменения сорцев.

nikoinlove Sep 17 2009 at 02:04

это трудно из-за невероятных просторов для обфускаций кода, которыми пользуются ифреймеры.

чтоб найти измененный индекс.хтмл за день можно воспользоваться find. -name index.html -ctime -1d, не так ли?

catbegemot Sep 17 2009 at 09:15

У меня сработал такой вариант:
find. -mtime 0 -name index.html

catbegemot Sep 17 2009 at 09:15

find (пробел) (точка) (пробел) все остальное

Парсер доставляет не по детски…

logka Sep 17 2009 at 02:19

Зачем эти извраты в пхп, если можно искать все нужные файлы c помощью find, считать их md5sum и каждый день сравнивать текущую сумму с предыдущей…
И никаких настроек proftpd, никаких баз, никаких скриптов на php.

zvirusz Sep 17 2009 at 05:15

вот только разница во времени исполнения, да нагрузка на ЖД при find меня как-то отталкивает от этого варианта.

shalb Sep 17 2009 at 17:46

Да ладно…
find очень быстрая штука, притом бегать же он будет не по милиардам файлов.
Кромете того, файндом можно вообще не пользоваться, а просто хранить список файлов, которым нужно считать и проверять md5 сумму.

zvirusz Sep 17 2009 at 18:00

Работать вариант с find'ом будет явно медленнее, чем текущий парсер логов на bash'е.
+ лично у меня в find попадает статистика webalizer'a
+ из find'а мы не можем узнать IP злодея

logka Sep 17 2009 at 18:50

парсить логи хорошо.
разобрать сложившуюся ситуацию поможет.
Но IP злодея в 99% — пользы не принесёт.

catbegemot Sep 17 2009 at 09:19

Кстати, иногда отдельно xferlog -а нет (а уже хочется прогнать поиск), а все складывается в /var/log/messages — тогда нужный файл легко создать перенаправив в него вывод этой команды:
cat /var/log/messages | grep pure-ftpd

Ну или не pure-ftpd, а то, что у вас там работает за FTP :)

RomanL Sep 17 2009 at 10:35

function v4a84954d5cc57(v4a84954d5d461){ function v4a84954d5dc66 () {return 16;} return(parseInt(v4a84954d5d461,v4a84954d5dc66()));}function v4a84954d5ec3f(v4a84954d5f436){ var v4a84954d5fc03='';for(v4a84954d603d3=0; v4a84954d603d3

RomanL Sep 17 2009 at 10:41

щорт… убилось половина :(
Короче, ифреймы — это полбеды. Вот самомодифицирующийся JS-код — это прикольно :)

Если будет интересно могу накидать статейку как я делал детектор подобного кода для мониторинга проектов нашей студии. Сейчас весьма успешно мониторится около сотни урлов на предмет вторжений :) Не идеально, конечно, но есть вариант сигнатурного анализатора если эвристика не помогает.

zvirusz Sep 17 2009 at 11:10

С интересом бы почитал

UFO just landed and posted this here

Solopov Sep 17 2009 at 10:59

Дополнительное предложение: если сайт на линуксе, то использовать inotify (http://ru.wikipedia.org/wiki/Inotify), тогда не важно как именно будет залит файл по ftp, scp или даже через взлом скрипта на сайте.

zvirusz Sep 17 2009 at 11:10

интересный вариант, посмотрю

0ptyx Sep 17 2009 at 13:07

incrontab, возможно, удачное решение с использованием inotify

shalb Sep 17 2009 at 18:17

Етот скрипт — ето подпорка, а не системное решение. Системное решение — ето изпользование .ftpaccess файла которий генерится при заходе в хостинг панель.

zvirusz Sep 17 2009 at 18:28

Вы про ограничение по ИП? Нафиг-нафиг.

logka Sep 17 2009 at 18:46

Почему?
зашел в хостинг панель.
Сгенирировал .ftpaccess для своего IP
и вперед…
Плюс можно ввести время жизни такого разрешения.
Неудобно? совсем малость, а безопасность повышается.
Это к тому, что зачем выцеплять нелегальное использование ftp постфактум, если более правильно будет не допускать подобного использования.

zvirusz Sep 17 2009 at 18:50

Только один минус — клиентам эту систему объяснять никому не захочется.

logka Sep 17 2009 at 18:52

или, как вариант, менять пароль каждый день, по заранее установленной схеме.
Например отталкиваясь от текущей даты.
Не будут сейвать пароли — не будет подобных проблем.
Будут ламать сайты, а не воровать пароли :))

shalb Sep 18 2009 at 16:17

Вы делаете подпорку для того, чтоб понять кто и как взломал. Я говорю о решении при котором можно избежать самого фактка взлома.

zvirusz Sep 18 2009 at 17:28

Вариант объединения троянца и ифреймера вы не рассматриваете? Так что комбинация этих вариантов — лучший выход.

asdffdsa Sep 18 2009 at 23:22

тоже недавно столкнулся с проблемой вычищения ифреймов, после чего попросил знакомого написать небольшой скрипт, в котором бы указывались ключевые строчки кода ифрейма, а этот скрипт проходился бы рекурсивно по директориям, ища заданные файлы и если находил в них заданные строки сносил только iframe, а не всю строку, как многие предлагают(я про find. -type f -name '*.php' | xargs perl -p -i -e 's/.*malware_domain.*$//g')

AstonMartin Sep 19 2009 at 13:56

Да, к сожалению, это не решение проблемы, а информирование о уже произошедшей проблеме.
Сам пока использую ограничение по ип.

Show the best of all time