JavaScripts maliciosos. Cómo buscar código malicioso sin antivirus ni escáneres. Problemas más comunes
El código malicioso ingresa al sitio por negligencia o mala intención. El propósito del código malicioso es diferente, pero, en esencia, daña o interfiere con operación normal sitio. Para llevar código malicioso en WordPress, primero debe encontrarlo.
¿Qué es el código malicioso en un sitio de WordPress?
Por apariencia, más a menudo, el código malicioso es un conjunto de letras y símbolos del alfabeto latino. De hecho, este es un código encriptado mediante el cual se realiza una u otra acción. Las acciones pueden ser muy diferentes, por ejemplo, sus nuevas publicaciones se publican inmediatamente en un recurso de terceros. En esencia, esto es el robo de su contenido. Los códigos también tienen otras "tareas", por ejemplo, colocar enlaces salientes en las páginas del sitio. Las tareas pueden ser las más sofisticadas, pero una cosa está clara: es necesario buscar y eliminar los códigos maliciosos.
Cómo llegan los códigos maliciosos al sitio
También hay muchas lagunas para obtener códigos para el sitio.
- En la mayoría de los casos, estos son temas y complementos descargados de los recursos "izquierdos". Aunque tal penetración es típica de los llamados enlaces encriptados. El código explícito no llega al sitio.
- La penetración de un virus cuando se piratea un sitio es la más peligrosa. Como regla general, piratear un sitio le permite colocar no solo un "código de un solo uso", sino también instalar un código con elementos de malware (programa malicioso). Por ejemplo, encuentra un código, lo elimina y se restaura después de un tiempo. Una vez más, hay muchas opciones.
Debo decir de inmediato que la lucha contra tales virus es difícil, y extracción manual requiere conocimiento. Hay tres soluciones al problema: primera decisión- use complementos antivirus, por ejemplo, un complemento llamado BulletProof Security.
Esta solución da buenos resultados, pero lleva tiempo, aunque sea un poco. Hay una solución más radical, deshacerse de los códigos maliciosos, incluidos los virus complejos, es restaurar el sitio a partir de copias de seguridad prefabricadas del sitio.
Dado que un buen webmaster lo hace periódicamente, será posible volver a una versión no infectada sin ningún problema. Tercera decisión para los ricos y los perezosos, simplemente comuníquese con una "oficina" especializada o un especialista individual.
Cómo encontrar código malicioso en WordPress
Es importante comprender que el código malicioso de WordPress puede estar en cualquier archivo del sitio y no necesariamente en el tema de trabajo. Se puede traer con un plugin, con un tema, con código "casero" sacado de Internet. Hay varias formas de intentar encontrar código malicioso.
Método 1. A mano. Desplácese por todos los archivos del sitio y compárelos con los archivos de una copia de seguridad no infectada. Encuentre el código de otra persona: elimínelo.
Método 2. Con complementos de seguridad de WordPress. Por ejemplo, . Este complemento tiene una gran función, escanear los archivos del sitio en busca de la presencia del código de otra persona, y el complemento hace un gran trabajo con esta tarea.
Método 3. Si tiene un soporte de alojamiento razonable y le parece que el sitio es "extranjero", pídales que analicen su sitio con su antivirus. Su informe enumerará todos los archivos infectados. A continuación, abra estos archivos en editor de texto y eliminar el código malicioso.
Método 4. Si puede trabajar con acceso SSH al directorio del sitio, adelante, hay una cocina.
¡Importante! Independientemente de cómo busque el código malicioso, antes de buscar y luego eliminar el código, bloquee el acceso a los archivos del sitio (habilite el modo de mantenimiento). Recuerde los códigos que se restauran cuando se eliminan.
Búsqueda de códigos maliciosos por la función eval
Hay algo como esto en php función de evaluación . Te permite ejecutar cualquier código en su línea. Además, el código se puede codificar. Debido a la codificación, el código malicioso parece un conjunto de letras y símbolos. Hay dos codificaciones populares:
- base64;
- Rot13.
En consecuencia, en estas codificaciones, la función eval se ve así:
- eval(base64_decode(...))
- eval (str_rot13 (...)) //entre comillas internas, conjuntos largos e incomprensibles de letras y símbolos..
El algoritmo de búsqueda de código malicioso por la función eval es el siguiente (trabajamos desde el panel de administración):
- vaya al editor del sitio (Apariencia→Editor).
- copie el archivo functions.php.
- ábralo en un editor de texto (por ejemplo, Notepad++) y busque la palabra: evaluar.
- si lo encuentra, no se apresure a eliminar nada. Es necesario entender lo que esta función "pide" ejecutar. Para entender esto, el código necesita ser decodificado. Para decodificar es herramientas en línea llamados decodificadores.
Decodificadores/codificadores
Los decodificadores funcionan de forma sencilla. Copie el código a descifrar, péguelo en el campo del decodificador y decodifique.
En el momento de escribir este artículo, no he encontrado ningún código cifrado en WordPress. Encontré el código del sitio de Joomla. En principio, no hay diferencia para entender la decodificación. Miramos la foto.
Como puede ver en la foto, la función eval, después de la decodificación, no mostró un código terrible que amenaza la seguridad del sitio, pero enlace de derechos de autor encriptado, el autor de la plantilla. También puede eliminarlo, pero volverá después de actualizar la plantilla si no usa .
En conclusión, anotaré para no tener un virus en el sitio:
- El código malicioso en WordPress a menudo viene con temas y complementos. Por lo tanto, no instale plantillas y complementos de "izquierda", recursos no verificados, y si los instala, bombéelos con cuidado para detectar la presencia de enlaces y funciones ejecutivas de php. Después de instalar complementos y temas de recursos "ilegales", verifique el sitio con antivirus.
- Asegúrese de hacer copias de seguridad periódicas y realizar otras.
JavaScript malicioso
Mi opinión, que consiste en que es más fácil y efectivo protegerse contra los scripts de navegación maliciosos (ataques XSS almacenados) por medio de los navegadores, fue expresada anteriormente: . Se supone que la protección del navegador contra JavaScript, que consiste en agregar un código de filtrado a las páginas html del sitio, es confiable; sin embargo, la presencia de dicha protección no elimina la necesidad de usar también un filtro del lado del servidor. Contra los mismos ataques XSS en el servidor, puede organizar una línea de defensa adicional. También debemos recordar acerca de la posibilidad de que un atacante inyecte en el mensaje html enviado desde el sitio, no el navegador, sino scripts del servidor (php), al reconocer que el navegador no será fuerte.
Un script de ataque, ya sea un script de navegador o un script de servidor, es un programa, y uno debe pensar que el programa siempre tendrá algunas diferencias simbólicas con el html "puro". Intentemos encontrar tales diferencias y usarlas para construir un filtro html en el servidor. A continuación se muestran ejemplos de JavaScript malicioso.
XS:
algún texto
algún texto
XSS encriptado:
algún texto
Los navegadores restauran el texto de los caracteres primitivos no solo dentro de los contenedores html (entre las etiquetas de apertura y cierre), sino también dentro de las propias etiquetas (entre< и >). La codificación de URL está permitida en las direcciones http. Esto complica el reconocimiento de código malicioso del lado del servidor, ya que la misma secuencia de caracteres se puede representar de diferentes formas.