होस्ट-ट्रैकर ने दुर्भावनापूर्ण कोड का जल्दी पता लगाने में कैसे मदद की

हमारी साइट की निगरानी सेवा, सर्वर उपलब्धता के अलावा, आपको साइट सामग्री की निगरानी करने की भी अनुमति देती है । उदाहरण के लिए, यदि आपको सूचनाएँ प्राप्त करने की आवश्यकता है कि साइट पर कोई विशिष्ट कीवर्ड प्रकट हुआ है, या इसके अभाव में इसके विपरीत।

आज हम यह बताना चाहते हैं कि होस्ट-ट्रैकर की मदद से हमारा ग्राहक दुर्भावनापूर्ण कोड का पता लगाने के लिए कितना संघर्ष कर रहा था ताकि यैंडेक्स प्रतिबंध में न आए।





ग्राहक की ओर से बयान:

साइट यैंडेक्स के प्रतिबंध में गिर गई

एक दिन ठीक है, जब साइट mysite *** का उपयोग करने की कोशिश की जा रही है। कॉम, एक चेतावनी दिखाई दी कि साइट कंप्यूटर की सुरक्षा को खतरे में डाल सकती है।

और यैंडेक्स से एक पत्र भी आया: साइट पर एक संभावित खतरनाक कोड पाया गया:

आपके माईसाइट ***। Com साइट के पृष्ठों पर एक कोड पाया गया जो आगंतुकों के लिए खतरनाक हो सकता है। साइट पर जाने पर इस कोड का निष्पादन उपयोगकर्ता के लिए अवांछनीय परिणाम पैदा कर सकता है: मैलवेयर के साथ कंप्यूटर का संक्रमण, इसके संसाधनों का अनधिकृत उपयोग, क्षति या व्यक्तिगत डेटा की चोरी।

वर्तमान में, साइट खोज परिणामों में दिखाई देती है "यह साइट आपके कंप्यूटर की सुरक्षा के लिए खतरा हो सकती है।"

यांडेक्स साइट की सामग्री का मूल्यांकन नहीं करता है और उपयोगकर्ताओं को चेतावनी देता है कि साइट अपने मालिकों के ज्ञान के बिना संक्रमित हो सकती है।

कृपया दुर्भावनापूर्ण कोड निकालें। यदि नई जाँच के दौरान कोड नहीं मिला है, तो खोज परिणामों में चिह्न अनियंत्रित हो जाएगा। जितनी जल्दी हो सके अनचेक करने के लिए, कोड हटाने के तुरंत बाद, आप साइट की फिर से जांच का अनुरोध कर सकते हैं।



Yandex वेबमास्टर पैनल में एक संदेश था:

कस्टम चेक रिजल्ट

अंतिम जांच तिथि 08/19/2013

मैसाइट ***। एचटीएमएल पेज

फैसले का व्यवहार विश्लेषण।

मैलवेयर का पता लगाना

साइट को स्वाभाविक रूप से विभिन्न ऑनलाइन एंटीवायरस द्वारा तुरंत जांचा गया था, लेकिन कोई खतरा नहीं पाया गया। उसके बाद, मैंने सोचा कि यह किसी तरह की गलतफहमी थी और यैंडेक्स के समर्थन में एक पत्र लिखा, स्थिति को स्पष्ट करने के लिए कहा, यह दर्शाता है कि ऑनलाइन एंटीवायरस को कोई खतरा नहीं मिला। उन्होंने जवाब दिया कि आम फाइलों में से एक, साइट पर संक्रमित था। मैंने यह भी देखा कि मुख्य पृष्ठ से कुछ "वाम" साइटों के लिंक थे। मुझे लगता है कि कुछ लिंक एक्सचेंज ने अप्रशिक्षित मालिकों को लिंक बेचने का एक अच्छा तरीका पाया है। जब मैंने फ़ाइल खोली, तो मुझे वास्तव में इसमें दुर्भावनापूर्ण कोड मिला:

/>...

दुर्भावनापूर्ण कोड के खिलाफ लड़ाई

समस्या के इतने आसान समाधान पर प्रसन्न होकर, मैंने पुराने बैकअप से फ़ाइल ली, इसे सर्वर पर अपलोड किया और यांडेक्स को लिखा कि मैंने सब कुछ ठीक कर दिया है, आप इसे प्रतिबंध से हटा सकते हैं।

यांडेक्स ने वास्तव में साइट को प्रतिबंध से हटा दिया, और यह वेबमास्टर पैनल में इंगित किया गया था कि सब कुछ ठीक था। लेकिन कुछ दिन बीत गए और तस्वीर दोहराई गई। मैंने तुरंत उस फ़ाइल की जाँच की जो पहले संक्रमित थी, सुनिश्चित किया कि दुर्भावनापूर्ण कोड था, और इसे बैकअप फ़ाइल से बदल दिया।

मैंने तुरंत होस्टर को लिखा कि मुझे ऐसी समस्या थी। उन्होंने उत्तर दिया कि केवल मुझे ही समस्या थी, और उनके पास सब कुछ क्रम में था, उन्होंने व्यवस्थापक पैनल, ftp और डेटाबेस के लिए पासवर्ड बदलने की सलाह दी। मैंने यह सब किया, बैकअप से एक साफ फ़ाइल डाल दी, लेकिन सचमुच कुछ घंटे बीत गए और फ़ाइल फिर से संक्रमित हो गई।



मैंने आईपी द्वारा पड़ोसियों की जांच करने का भी फैसला किया। यादृच्छिक पर, उसने 5 साइटें खोलीं, और बिल्कुल भी आश्चर्य नहीं हुआ कि उनके पास एक आइफ्रेम का उपयोग करने वाले मुख्य लिंक से बाहरी लिंक भी हैं। स्वाभाविक रूप से, मैंने तुरंत इस बारे में हॉस्टल को लिखा, और एक जवाब मिला कि सब कुछ ठीक है, 5% से अधिक ग्राहक खाते संक्रमित नहीं हैं और माना जाता है कि कोई समस्या नहीं है। उसने उन्हें जवाब दिया कि क्या बकवास है और तर्क दिया कि समस्या मौजूद थी, तो उन्होंने बैकअप को बहाल करने के प्रस्ताव के साथ अधिक विस्तृत जवाब दिया। उन्होंने 444 फाइलों और 555 निर्देशिकाओं तक पहुंच बनाने की भी सिफारिश की, जो मैंने किया। लेकिन शाब्दिक रूप से एक दिन बीतने के बाद, एक्सेस क्रमशः 644 और 755 पर वापस आ गया, और फ़ाइल में दुर्भावनापूर्ण कोड।



मंचों पर उसी समस्या का वर्णन मिला। लोगों ने समान लक्षणों और संघर्ष के समान तरीकों का वर्णन किया। इसके अलावा, पीड़ितों में से एक ने सुझाव दिया कि होस्टर ने कुछ दिनों के लिए अपने सभी पासवर्ड बदल दिए ताकि वह उन्हें नहीं जान सके और यह सुनिश्चित कर सके कि होस्टल दुर्भावनापूर्ण कोड प्रकट होता है। एक शब्द में, होस्टर ने स्वीकार किया कि उनकी तरफ से समस्या है और वे इसे हल करने की कोशिश कर रहे हैं।



समस्या को हल करने के लिए कोई समय सीमा घोषित नहीं की गई थी, और साइट लगातार यैंडेक्स प्रतिबंध में गिर रही थी और तदनुसार, इस समय के दौरान यह खोज परिणामों में अपनी स्थिति खो चुकी थी।

सामग्री खोज

विशिष्ट फ़ाइलों के लिए जिन्हें वह जानता था कि वे लगभग हर दो घंटे में संक्रमित थे, उन्होंने होस्ट-ट्रैकर फ़ंक्शन का उपयोग किया था - सामग्री द्वारा खोज । मैंने Http सत्यापन का चयन किया, URL को पंजीकृत किया: mysite *** / common.js फ़ाइल का पथ, जो लगातार संक्रमित था, ने "iframe" कीवर्ड का उपयोग करके निगरानी का आदेश दिया, जो कि दुश्मन कोड में मौजूद था, ने चुना: चेक किए गए पृष्ठ पर सभी कीवर्ड अनुपस्थित होने चाहिए । अब, जब दुश्मन कोड दिखाई दिया, तो मुझे एक मिनट में एक एसएमएस और एक ईमेल सूचना मिली (मैंने 1 मिनट का मतदान अंतराल चुना)।



सबसे पहले, मुझे इसे जल्दी से ठीक करना था ताकि यांडेक्स पर प्रतिबंध न लगे। तब उन्होंने देखा कि एक अधिसूचना आ रही थी कि common.js में दुर्भावनापूर्ण कोड होता है, और कुछ ही मिनटों में फाइलें बिना दुर्भावनापूर्ण कोड के पहले से ही थीं। होस्टर ने अंततः फाइलों का स्वतंत्र रूप से इलाज करना शुरू कर दिया। यह कुछ और दिनों तक चला, जब तक कि संक्रमण के संदेश आना बंद नहीं हो गए।

चेकसम चेक

अपने लिए, मैंने अतिरिक्त रूप से * .js फ़ाइलों में परिवर्तनों को नियंत्रित करने का एक सरल तरीका लागू किया:

फ़ाइलें किसी भी दुश्मन कोड होना चाहिए। हम सहेजते हैं, उदाहरण के लिए, सुबह में वांछित एक्सटेंशन .js, .php, आदि के साथ फ़ाइलों का चेकसम।

find . -type f -name "*.js" -exec md5sum {} \; > file-js1.txt





और शाम को प्रक्रिया को दोहराएं

find . -type f -name "*.js" -exec md5sum {} \; > file-js2.txt





तब मैं इन दो फाइलों की तुलना चेकसम में एक विचलन के लिए करता हूं:

diff -u file-js1.txt file-js2.txt.





अगर कुछ बदल गया है, तो मैं फ़ाइलों को बदलने के कारण की जांच करता हूं।



इस घटना के बाद, मुझे कई स्वचालित समाधान मिले जो मुझे कुछ प्रकार की फ़ाइलों के लिए परिवर्तनों को ट्रैक करने और उनका उपयोग करने की अनुमति देते हैं।