工具查找注入恶意代码？

我搜索一个工具来查找在我的PHP文件中注入恶意代码。在每个PHP文件，我有这个注射：工具查找注入恶意代码？

eval(gzinflate(base64_decode('pRlrc9u48bM70/+AaBhTjGmJol5WbNpJE+fuZppLqjid6di...

当然，我用shell查找和替换的注入。但每小时注射就回来了。所以一些PHP文件被注入。我在这个服务器上有超过34个网站 - 每个网站都被注入。

我现在的问题：有人想找到安全漏洞吗？也许一个在线工具或脚本，我可以检查所有的PHP文件？

感谢您的帮助。

来源

2015-07-28 cgee

有人已经扎根您的服务器。咬下子弹，关掉所有东西并重建它。你有备份，对吧？ – Phylogenesis

没有备份..它不是我的服务器..... :( – cgee

事实上，攻击者正在改变你的源文件几乎肯定表明他们有某种类型的shell访问。服务器主机是需要修复这个问题通过修补/重建服务器，如果他们不愿意/无法做到这一点，那么你需要找到一个新的主机。事实上，这甚至发生了，这将使我看到变化的主机无论如何，除非他们能够给一个好这个攻击的解释（例如使用一个未知/未修补的0天漏洞） – Phylogenesis

-1

我用过类似的东西：grep -Rl "eval" .和grep -Rl "base64" .它可能是一个好的开始。

尝试搜索受感染文件中的模式。

来源

2015-07-28 08:00:20 Vico

我做到了... eval（）代码已经离开了。但是，这个eval（）代码每小时都会回来。某处是一个脚本来执行此操作。但我无法查看〜10.000个文件.... – cgee

TBH，我搜索了我发现的每个受感染文件中的模式，然后使用grep -Rl确保删除所有发生的事件。我也搜索谷歌的一些模式，我终于找到了机器人的名称。清理它更容易。但是因为这确实非常重要，我付了一间公司来确保病毒完全被移除^ _ ^ – Vico

工具查找注入恶意代码？

回答

相关问题