有没有办法查看 FTP 是否由 PHP 发起？

Question

我的网络服务器受到攻击，其中 .html 文件通过 FTP 复制到公共 html 目录中。

FTP 密码非常强。

我正在尝试确定 PHP 是否启动了 FTP 传输。是否有 Apache 或 Nix 日志文件可以为我提供此信息？

其他信息 我有 FTP 日志条目，这些条目似乎显示用于登录和复制文件的不同 IP。我不确定，但有吗？在 IP 指示之前，除了它不是帐户用户（在这种情况下是王国）？看起来记录了几个不同的 IP - 每个都复制一个不同的文件 - 所有这些都在不到 30 秒的时间内完成。违规文件是“mickey66.html”、“mickey66.jpg”和“canopy37.html”。

2010-06-17T21:24:02.073070+01:00 webserver pure-ftpd: (?@190.20.76.74) [INFO] 王国现已登录

2010-06-17T21:24:06.632472+01:00 webserver pure-ftpd: (?@77.250.141.158) [INFO] 王国现已登录

2010-06-17T21:24:07.216924+01:00 webserver pure-ftpd: (kingdom@77.250.141.158) [注意] /home/kingdom//public_html/mickey66.html 已上传（80 字节，0.26KB/秒）

2010-06-17T21:24:07.364313+01:00 webserver pure-ftpd: (kingdom@77.250.141.158) [INFO] 注销。

2010-06-17T21:24:08.711231+01:00 webserver pure-ftpd: (?@78.88.175.77) [INFO] 王国现已登录

2010-06-17T21:24:10.720315+01:00 webserver pure-ftpd: (kingdom@78.88.175.77) [注意] /home/kingdom//public_html/mickey66.jpg 已上传（40835 字节，35.90KB/秒）

2010-06-17T21:24:10.848782+01:00 webserver pure-ftpd: (kingdom@78.88.175.77) [INFO] 注销。

2010-06-17T21:24:18.528074+01:00 webserver pure-ftpd: (kingdom@190.20.76.74) [INFO] 注销。

2010-06-17T21:24:22.023673+01:00 webserver pure-ftpd: (?@85.130.254.227) [INFO] 王国现已登录

2010-06-17T21:24:23.470817+01:00 webserver pure-ftpd: (kingdom@85.130.254.227) [注意] /home/kingdom//public_html/mickey66.html 已上传（80 字节，0.38KB/秒）

2010-06-17T21:24:23.655023+01:00 webserver pure-ftpd: (kingdom@85.130.254.227) [INFO] 注销。

2010-06-17T21:24:26.249887+01:00 webserver pure-ftpd: (?@95.209.254.137) [INFO] 王国现已登录

2010-06-17T21:24:28.461310+01:00 webserver pure-ftpd: (kingdom@95.209.254.137) [注意] /home/kingdom//public_html/canopy37.html 已上传（80 字节，0.26KB/秒）

2010-06-17T21:24:28.760513+01:00 webserver pure-ftpd: (kingdom@95.209.254.137) [INFO] 注销。

Answer 1

您的工作站上可能存在运行 FTP 客户端的恶意软件。该恶意软件必须从您的 FTP 客户端窃取密码并将其发送给第三方。

这发生在我们身上。我们所有的登陆页面都注入了恶意代码/ iframe-url 代码，这些代码将在所有在浏览器中打开该页面的机器上下载此恶意软件。

Answer 2

我的网络服务器受到攻击，其中 .html 文件通过 FTP 复制到公共 html 目录中。

你怎么知道它们是通过 FTP 复制的？

FTP 密码非常强。

不是很相关。 FTP 发送未加密的密码 - 因此，即使假设文件是​​通过 FTP 传递的，如果密码被嗅探，它有多少熵也无关紧要。

我正在尝试确定 PHP 是否启动了 FTP 传输

您无法分辨客户是什么。即使像 HTTP 一样，提供用于收集有关用户代理信息的协议，也无法确定此信息的准确性（它是由客户端发送的，因此可以被客户端操纵）。

您的 FTP 服务器日志应该记录了哪个 IP 地址/用户帐户上传了哪些文件以及何时上传的详细信息。但如果里面没有任何相关内容，请不要感到惊讶。

C.

Answer 3

据我所知，FTP 协议没有 User-Agent 标头或类似的东西。即使是这样，为什么恶意软件编写者会添加代码来主动将他们的软件识别为恶意软件？而且，您为什么要阻止合法使用 PHP 等脚本工具？

这类攻击通常来自两个来源：

• 托管在公共 Web 服务器中的易受攻击的脚本
• 托管导致其 PC 受损的客户端

如果 - 正如您所建议的那样 - 您实际上有 FTP 日志来证明这些文件是使用您的凭据通过 FTP 上传的，那么您可能知道文件来自的 IP 地址。检查它是否是您的地址，无论如何，请使用一个好的病毒扫描程序。