工具查找注入惡意代碼？

我搜索一個工具來查找在我的PHP文件中注入惡意代碼。在每個PHP文件，我有這個注射：工具查找注入惡意代碼？

eval(gzinflate(base64_decode('pRlrc9u48bM70/+AaBhTjGmJol5WbNpJE+fuZppLqjid6di...

當然，我用shell查找和替換的注入。但每小時注射就回來了。所以一些PHP文件被注入。我在這個服務器上有超過34個網站 - 每個網站都被注入。

我現在的問題：有人想找到安全漏洞嗎？也許一個在線工具或腳本，我可以檢查所有的PHP文件？

感謝您的幫助。

來源

2015-07-28 cgee

有人已經紮根您的服務器。咬下子彈，關掉所有東西並重建它。你有備份，對吧？ – Phylogenesis

沒有備份..它不是我的服務器..... :( – cgee

事實上，攻擊者正在改變你的源文件幾乎肯定表明他們有某種類型的shell訪問。服務器主機是需要修復這個問題通過修補/重建服務器，如果他們不願意/無法做到這一點，那麼你需要找到一個新的主機。事實上，這甚至發生了，這將使我看到變化的主機無論如何，除非他們能夠給一個好這個攻擊的解釋（例如使用一個未知/未修補的0天漏洞） – Phylogenesis

-1

我用過類似的東西：grep -Rl "eval" .和grep -Rl "base64" .它可能是一個好的開始。

嘗試搜索受感染文件中的模式。

來源

2015-07-28 08:00:20 Vico

我做到了... eval（）代碼已經離開了。但是，這個eval（）代碼每小時都會回來。某處是一個腳本來執行此操作。但我無法查看〜10.000個文件.... – cgee

TBH，我搜索了我發現的每個受感染文件中的模式，然後使用grep -Rl確保刪除所有發生的事件。我也搜索谷歌的一些模式，我終於找到了機器人的名稱。清理它更容易。但是因爲這確實非常重要，我付了一間公司來確保病毒完全被移除^ _ ^ – Vico

工具查找注入惡意代碼？

回答

相關問題