在Joomla CMS网站上修改.htaccess的病毒/恶意软件

Question

我有一个在共享主机上运行的Joomla 1.0网站，我没有shell访问权限（只有FTP可用）。最近我的网站被谷歌标记为恶意软件网站，我通知.htaccess文件被恶意内容修改。这些重定向规则被称为“depositpeter.ru”的网站被添加到.htaccess：

ErrorDocument 400 http://depositpeter.ru/mnp/index.php
ErrorDocument 401 http://depositpeter.ru/mnp/index.php ...

如果我清理这个.htaccess文件，几分钟后它会被恶意内容修改回来。

我怀疑有一些后门PHP和javascript已经注入我们的代码库，不断修改.htaccess文件。但是我不知道这些恶意软件是如何首先登陆我的网站的。我很确定没有FTP用户将这些内容上传到我的网站。病毒扫描发现有一个用户上传的图像注入PHP.ShellExec恶意软件（我不知道这个PHP.ShellExec是如何工作的，如果它与.htaccess病毒有关）。

我的问题是我该如何开始排查和清除此恶意软件？我很无能，对处理网络恶意软件的经验很少。任何帮助都非常感谢！

Answer 1

自己解决这个问题可能超出了你的能力范围。但是这里有一些你应该做的事情。

• 下载您拥有的任何apache / php日志 - 这些日志可以指向被利用的安全漏洞。如果您能找到这些条目，请确保有孔。
• 删除表示为已感染的图像。
• 与您的主机联系 - 多家托管公司都有自动解决方案来查找和清除常见漏洞。此外，如果您的网站被感染，可能性也是同一服务器上的其他客户端。
  • 相反，它可能是同一服务器上的另一个客户端导致此问题。

• 在uploads目录中添加.htaccess文件，该文件将阻止访问除上传图像以外的任何内容。它可能看起来像这样：

  Order deny,allow
Deny from all
<FilesMatch "\.(jpe?g|bmp|png)$">
Allow from all
</FilesMatch>

• 如果您的主机没有阻止允许php调用系统命令的功能（您会感到惊讶）并且您知道该怎么做，您可以使用{{1}使用自定义php脚本模仿shell访问}，system，exec和其他一些功能。我使用自己编写的脚本：https://github.com/DCoderLT/Misc_Tools/blob/master/sh/sh.php。这是相当原始的，但是在我需要的时候完成了工作。

未来考虑因素：

• 进行备份。您的托管公司可能会在一段时间内提供这些服务。
• 密切关注更新。订阅Joomla公告邮件列表。尽快应用这些更新。像Joomla和WordPress这样的流行应用程序是脚本小子和自动机器人的常用目标。
• 进行备份。
• 确保您的托管公司正确设置了服务器，以便用户A不会影响用户B的文件（文件权限，suexec或类似文件）。我不知道这些日子有多么普遍，但它过去常常是一种疏忽。
• 进行备份。
• 不要对不需要它的文件和文件夹启用写入权限。
• 进行备份。

Answer 2

你在那里运行什么样的PHP-Framework / CMS？首先是在那里获得更新。第二个想法是删除PHP-Shell放在这些目录上的写权限。我要做的第三件事就是删除php-shell（尝试查找不属于你的cms / framework的文件）。

祝你好运