Как мне узнать, как хакеры "Pharma Hack" получают доступ к моему сайту?
Один из моих сайтов был постоянной целью "Pharma Hack" - но он использует Drupal вместо Wordpress или Joomla. Это версия 6, но она обновлена до последней версии, как и все модули, которые я установил.
Я изменил пароли, удалил оскорбительные файлы, полностью переделал установку сайта, но каким-то образом они продолжают получать доступ. Этот сайт является некоммерческой организацией, и он серьезно влияет на наши результаты поиска в Google и т. Д.
1 ответ
Вы не можете доверять какой-либо статистике или показателям, которые вы получаете от самого сервера. Он может иметь руткит (более или менее основанный на POSIX эвфамизм для вируса). Если вам абсолютно необходимо проанализировать сервер, вы захотите проанализировать трафик, выходящий из ваших сетевых карт. Используйте порт TAP / mirror и будьте готовы просеять кучу мусора. Конечно, на сервере может не быть руткита. Это может быть простой вопрос, чтобы очистить сервер. Конечно, вы можете использовать что-то вроде Rootkit Hunter, чтобы попытаться исправить ситуацию.
Я скажу это снова: вы никогда не сможете доверять тому, что видите на этом сервере снова. Вы должны выйти за пределы этого, чтобы узнать, что происходит.
Лучшим вариантом будет сбросить его с орбиты.
Восстановите это. Контролируйте каждое изменение в файловой системе. Узнайте о tripwire. Inotify тоже.
Прочтите эту ветку ServerFault " Мой сервер был взломан АВАРИЙНО". Дважды. Это все.