มีไฟล์แปลก ๆ อัพโหลดเข้ามาที่โฮสต์ แล้วก็มีการแก้ไขโค้ดในไฟล์ของเรา

[wch2013]

มันเกิดจากอะไรครับ แล้วก็ทางโฮสต์แจ้งมาว่ามีการยิงอีเมล์ออกมาจากไฟล์ ๆ นึงด้วย ซึ่งผมไม่ได้เป็นคนทำขึ้นมาถูกอัพมาจากใครหรือที่ไหนก็ไม่ทราบเหมือนกัน

อยากจะขอคำปรึกษาจากสมาชิกไทยเสียวหน่อยครับว่า ปัญหานี้ต้องแก้ยังไงได้บ้างครับ

รบกวนแนะนำด้วยครับ

ขอบคุณครับ

[tenzamak]

ดูสคิปก่อนครับ ว่าเก่าหรือป่าว ถ้าเก่าต้องอัพเดท
permission เซ็ตไว้ยังไง  บางท่านเซ็ต 777 ยัน jpg แบบนี้ก็ไม่น่ารอด
อีกกรณีคือ คอมที่ใช้ติดไวรัส หาโหลด avast ตัวฟรีมาลองสแกน

ผมเดาเล่นๆ  ท่านใช้ nod32 หรือป่าว ผมเจอคนติดพวกนี้ ถาม 10 ใช้ nod32 ซะ 8

[Freeze]

โดนแบบนี้เหมือนกันเลยครับ กำลังหาทางแก้ไขอยู่เหมือนกัน 

[iczykung]

ไม่เว็บรั่ว  ก็ เครื่องที่ใช้ทำเว็บมีไวรัสครับ

[wch2013]

ดูสคิปก่อนครับ ว่าเก่าหรือป่าว ถ้าเก่าต้องอัพเดท
permission เซ็ตไว้ยังไง  บางท่านเซ็ต 777 ยัน jpg แบบนี้ก็ไม่น่ารอด
อีกกรณีคือ คอมที่ใช้ติดไวรัส หาโหลด avast ตัวฟรีมาลองสแกน

ผมเดาเล่นๆ  ท่านใช้ nod32 หรือป่าว ผมเจอคนติดพวกนี้ ถาม 10 ใช้ nod32 ซะ 8

ใช้ NOD32 ครับ

Permission Set เป็น 755 หรือ 644 ก็โดนอะครับ

[tenzamak]

ดูสคิปก่อนครับ ว่าเก่าหรือป่าว ถ้าเก่าต้องอัพเดท
permission เซ็ตไว้ยังไง  บางท่านเซ็ต 777 ยัน jpg แบบนี้ก็ไม่น่ารอด
อีกกรณีคือ คอมที่ใช้ติดไวรัส หาโหลด avast ตัวฟรีมาลองสแกน

ผมเดาเล่นๆ  ท่านใช้ nod32 หรือป่าว ผมเจอคนติดพวกนี้ ถาม 10 ใช้ nod32 ซะ 8

ใช้ NOD32 ครับ

Permission Set เป็น 755 หรือ 644 ก็โดนอะครับ

ทำไมซื้อหวยไม่ถูกแบบนี้  โหลด avast มาสแกนแทนครับ แล้วเปลี่ยนพาส ftp แล้วแก้เวบครับ

[wch2013]

ดูสคิปก่อนครับ ว่าเก่าหรือป่าว ถ้าเก่าต้องอัพเดท
permission เซ็ตไว้ยังไง  บางท่านเซ็ต 777 ยัน jpg แบบนี้ก็ไม่น่ารอด
อีกกรณีคือ คอมที่ใช้ติดไวรัส หาโหลด avast ตัวฟรีมาลองสแกน

ผมเดาเล่นๆ  ท่านใช้ nod32 หรือป่าว ผมเจอคนติดพวกนี้ ถาม 10 ใช้ nod32 ซะ 8

ใช้ NOD32 ครับ

Permission Set เป็น 755 หรือ 644 ก็โดนอะครับ

ทำไมซื้อหวยไม่ถูกแบบนี้  โหลด avast มาสแกนแทนครับ แล้วเปลี่ยนพาส ftp แล้วแก้เวบครับ

ลองโหลดมาใช้ดูละครับ แสกนแล้วโปรแกรมแจ้งมาตามรูปด้านล่าง คือ ไม่พบภัยคุกคามใด ๆ

ทีนี้น่าจะเป็นที่ตัวสคิปแล้วใช่ปะครับ

[tenzamak]

script ใหม่หรือครับ ลองดู version แล้ว permission เป็นยังไง

[wch2013]

script ใหม่หรือครับ ลองดู version แล้ว permission เป็นยังไง

เป็น script ที่เขียนขึ้นเองครับ
ส่วน permission ก็มี 777 เฉพาะโฟลเดอร์ที่ต้องอัพโหลดรูปขึ้นไปเท่านั้นเอง
ที่เหลือก็จะเป็น 644, 755

แต่โฟลเดอร์ที่มีไฟล์แปลก ๆ อัพเข้ามาก็ไม่ได้ set เป็น 777 นะครับ

ไม่ทราบว่าพอมีวิธีที่ set ให้ปลอดภัยกว่านี้ไหมครับ

ขอบคุณครับ

[qawe89]

เข้ามาฟังปัญหาด้วยครับ 

[iczykung]

script ใหม่หรือครับ ลองดู version แล้ว permission เป็นยังไง

เป็น script ที่เขียนขึ้นเองครับ
ส่วน permission ก็มี 777 เฉพาะโฟลเดอร์ที่ต้องอัพโหลดรูปขึ้นไปเท่านั้นเอง
ที่เหลือก็จะเป็น 644, 755

แต่โฟลเดอร์ที่มีไฟล์แปลก ๆ อัพเข้ามาก็ไม่ได้ set เป็น 777 นะครับ

ไม่ทราบว่าพอมีวิธีที่ set ให้ปลอดภัยกว่านี้ไหมครับ

ขอบคุณครับ

chmod จะไม่มีผลนะครับ  ถ้า hosting ใช้  mod_ruid2  หรือ php fastcgi

[darkknightza]

เวรละสิ

[clubbank]

ใช้ wordpress หรือเปล่าครับ

[wsnhosting]

ลองดู log ตั้งแต่วันที่เริ่มส่งเมล์ออกครับ
น่าจะเห็นอะไรแปลกบ้างน่ะ

[super18xxx]

มันมีวิธีเจาะอยู่ครับ ^_^ ใช้วิธีหา หน้าที่เอ่อเร่อ  ..............

[oilaoy]

ลอง PM เว็บที่มีปัญหามาดูครับ
อาจพอช่วยวิเคราะห์ปัญหาให้ได้ครับ

[ZYB3R_F1ST]

โดนฝังสคริปครับ ใช้วิธีอัพโหลดไฟล์เข้าไปที่เป้าหมาย ละแก้ chmod ระบบได้เลย 

[abcoat]

มีหลายสาเหตุนะครับ

-HACK ทางช่องโหว่ของสคิป
วิธีนี้ต้องลบสคิปที่แปลกปลอมออกไปให้หมด ดูว่าไฟล์ไหนที่ไม่ได้ใช่หรือไม่ได้เกี่ยวข้องกับเราก้อลบออกไปเลยครับ
พยายามอย่าใช้สคิปฟรีที่มาจากแหล่งที่เชื่อถือไม่ได้

-HACK ทางรหัสผ่าน FTP
เปลี่ยนรหัสFTP ให้ยากๆ แล้วอย่าให้คอมจดจำรหัสใน FTP / หมั่นอัพเดทโปรแกรม FTP ( Filliza ) หรืออะไรพวกนี้
scan ว่าในเครื่องที่อัพไฟล์ มี spyware ฝังอยู่ไหม

เอาใจช่วยครับบ

[PTizzi]

เป็นเหมือนกันเลยค่ะ สคริปเขียนเอง

โดนฝังสคริปส่งอีเมลออก / โดนวาง iframe / ล่าสุดโดนรีเซ็ตรหัสผ่าน

โดนเกือบทุกโดเมนในโฮสเลยค่ะ

ไม่รู้จะแก้ยังไงแล้ว ฮือ ๆ  T^T   

// ใช้สแกนไวรัสของ Kaspersky อยู่ค่ะ

[amazegu]

ผมโดนไปสองสามโดเมน เมลไหลวันละ 700 ฉบับ ดีที่กำหนดให้ส่งได้ต่อวันแค่นั้น
วิธีการแก้ไขของผมคือ
1.ตรวจสอบสคริปต์ตรงระบบอัปโหลดไฟล์ก่อนเลย ผมเพิ่มระบบเช็คไฟล์ที่อัปด้วยว่าข้างในไม่มีมีโค้ดซ่อนอยู่ ขนาดผมเขียนเช็ค mime อะไรหมดแล้วยังหลุดมาได้

โค้ด เลือก ขยาย


$content = file_get_contents($_FILES['file']['tmp_name']);
if (preg_match('/\<\?php/i', $content)) die();


2.พวกโฟลเดอร์ที่ให้อัปโหลดไฟล์ขึ้นไป หรือพวกโฟลเดอร์ log cache ทั้งหลาย มันต้อง chmod777 เราต้องใช้ .htaccess ดักไม่ให้มันรันสคริปต์ได้

โค้ด เลือก ขยาย


<FilesMatch "\.(php|php3?|phtml)$"> 
         Order Deny,Allow
         Deny from All
</FilesMatch>

3.ตรวจสอบไฟล์แปลกๆ ในระบบ
4.เปลี่ยนรหัสผ่าน ftp

ตอนนี้เงียบไปแล้ว รอดูว่าจะโดนอะไรอีกมั๊ย