Newlook_ru 13 мая 2012 в 12:21

Простой сканер внедрения кода на PHP

4 мин

7.9K

PHP *

Из песочницы

-1

Комментарии 28

НЛО прилетело и опубликовало эту надпись здесь

YAAP 14 мая 2012 в 08:34

Метод можно и доработать. К примеру — сохранять md5 файла, потом по крону запускать проверки и бить тревогу, если содержимое (а не только дата модификации файла) изменилось.
Ну и в дополнение, выдать разработчикам «кнопочку» для пересчета сумм после завершения работы.

Ну а в идеале — прикрутить все это на кои-то системе контроля версий…

YAAP 14 мая 2012 в 08:41

Эх, все это уже описали в комментах ниже

voff 13 мая 2012 в 12:34

У вас на скрипты права 777 чтоли?

vyacheslav_ka 13 мая 2012 в 12:39

1) Большинство шеллов при внедреннии изменяют дату редактирования файла, тем более это очень несложно сделать средствами самого пхп.
2) Вы опять изобрели велосипед, при чем очень кривой. Есть готовые тулзы. Если хотите сканер, то тогда лучше сверять хеш-суммы файлов, которые хранятся отдельно.

powder96 13 мая 2012 в 12:45

Чтобы выставить желаемую дату изменения файла используют функцию touch(), поэтому если скрипт-кидди воспользуются скриптом получше, Ваш способ не сработает.

ИМХО, такой алгоритм получше будет:
1) до заражения проходимся по всем файлам и собираем ихние md5 хеши в файл,
2) после атаки взломщиков опять проходитесь по всем файлам, собирая хеши,
3) сравниваете «чистые» хеши с хешами после заражения — где они разные — файл был изменен

denver 13 мая 2012 в 12:57

Согласен что что топик мало поможет. Но если есть возможность пройтись до заражения, то имхо лучше уж сделать git init && git commit -a -m «Initial code» && tar -czf /backup/mysite.tar.gz .git, впоследствие можно будет не только проверить что что-то изменилось, но и увидеть что именно и мгновенно отменить (git reset --hard HEAD)

Stdit 13 мая 2012 в 13:18

Вынести всё это на запасной сервер, делать диф по расписанию и слать на мыло.
И можно спать почти спокойно :)

Fedcomp 13 мая 2012 в 16:30

надо chmod на папку .git проставить обязательно.

Stdit 13 мая 2012 в 12:56

Самый простой сканер с примерно такой же логикой (изменённые за последние 30 дней):

find -name "*.php" -mtime -30 -ls

Можно при желании добавить игнор каких-то папок, а так же слать результат кроном на почтовый ящик.

NeonSunlight 21 мая 2012 в 15:29

Отличный пример, к тому же несложно наращивается до варианта с проверкой контрольной суммы, который предложен выше.

Newlook_ru 13 мая 2012 в 13:08

Друзья, спасибо за конструктивную критику. Мой пост бесполезен для гуру, главная задача поста — задать направление мысли для новичков, которые сталкиваются с проблемами и не могут их решить.

Алгоритм, предложенный мной прост, и его можно улучшать до бесконечности, а совместив мой пост и изучив ваши комментарии можно придумать свой «велосипед» для борьбы с внедрением.

DevMan 13 мая 2012 в 13:14

Это борьба не с внедрением, а его последствиями.

akzhan 13 мая 2012 в 13:52

А что мешает просто проверить (?:git|svn|cvs) diff?

kriptomen 13 мая 2012 в 15:19

"… привлекли к администрированию десяти сайтов, расположенных на одном виртуальном хостинге. Сайты крутились на “полуразложившихся” движках, написанных в 2000-2003 годах..."

По-видимому ни репозитория, ни бекапов сайта не знавали.

dizer 14 мая 2012 в 12:38

а самому положить в репозиторий?

yanis76 13 мая 2012 в 15:23

Может, просто искать ключевые слова в файлах?
Например,

find . -name "*.php" -exec grep -q "<iframe" {} \; -print

find . -name "*.ht*" -exec grep -q "<iframe" {} \; -print

Fragster 13 мая 2012 в 17:01

если зловред добавляется обфусцированным js, то такой способ не работает

Fragster 13 мая 2012 в 17:00

Намного более действенный вариант — список файлов + их контрольная сумма md5, полученные при начальном развертывании системы. Генератор этой информации, равно как и проверяльщик изменений пишутся элементарно, в том числе удаленно по ftp или ssh.

Stdit 13 мая 2012 в 17:57

Да не надо ничего писать, всё уже написано давно.
Сохраняем себе контрольные суммы:

ssh myserver.com 'find path/to/site -exec md5sum {} \;' > sum_control.txt

а потом таким же образом получаем текущие суммы в sum.txt и смотрим разницу

diff sum.txt sum_control.txt

Файл хранится локально на машине разработчика, злоумышленник к нему никак не доберётся.

Fragster 14 мая 2012 в 11:17

Примерно такой вариант я и имел ввиду под «элементарно» :)

Stdit 14 мая 2012 в 11:27

Понятно. Просто «писать генератор и проверяльщик изменений» в моём понимании нечто более сложное, чем «запустить команду», примерно как в этом посте написан генератор на php, выполняющий то же самое, что и find с mtime.

hazg 13 мая 2012 в 17:48

А почему не просто chmod -w? Админ из меня никакой, сильно не бейте… но все равно не понимаю.

amarao 13 мая 2012 в 18:20

Я бы просто раздел с скриптами в R/O смонтировал.

AmdY 13 мая 2012 в 19:55

просто оставлю, а то код словно с прошлого тысячелетия www.php.net/manual/ru/recursivedirectoryiterator.construct.php

pechorin 13 мая 2012 в 21:08

Вы помоему сам недавно программируете? Вы меня простите, но ставте комментарии к коду НАД строкой кода, а не после.

И научитесь уже называть методы по-человечески. Что вообще значит scan_tree? Отсканировать_Дерево. Вы словно пишите код, который установлен на ваших сайтах (старый и дерьмовый).
Называйте так, чтобы другой человек понял о чем идет речь.
get_changed_files() какой-нибудь, но никак не scan_tree.

Newlook_ru 14 мая 2012 в 10:10

Вы правы, я программирую не так давно и часто выдумываю велосипеды, от чего и страдаю.
Данный скрипт не использую в реальной жизни.

Доступа по SSH у меня к серверу нет и я ещё не силен в системах контроля версий.

Для себя я нашел, как мне кажется самый простой способ:

Работаю я в PHP Storm, которая имеет возможность сравнивать текущие локальные файлы и файлы на FTP сервере, сравнивает именно по содержимому файла. На мой взгляд это самый простой способ слежения за изменениями для начинающего разработчика (вроде меня) не имеющего опыта работы с SHH или системами контроля версий.

pechorin 14 мая 2012 в 10:12

:D а вы — гений.

Зарегистрируйтесь на Хабре, чтобы оставить комментарий