¿Hay un escáner de malware específico del servidor / sitio web? [cerrado]

Question

¿Hay un escáner de malware específico del servidor / sitio web? [cerrado]

#1 de Mark Koek (3 votos)
#2 de Oli (0 votos)

0

Tengo varios servidores CentOS de Linux que se escanean con las Herramientas para webmasters de Google, y cuando encuentra algún código malicioso en mis servidores (compartido / dedicado), la clasificación de esos sitios disminuye. Lo que busco es un escáner de servidor que busque el buscador de malware php , js , etc., para que pueda reaccionar antes de que Google elimine el ranking de ese sitio.

Ya encontré un escáner de malware php , todavía intentando que funcione, pero me gustaría encontrar una solución más completa para aumentar la seguridad de mis servidores.

nbs-system / php-malware-finder: detecte archivos PHP potencialmente maliciosos

malware webserver linux javascript php

pregunta blade19899 22.03.2016 - 10:13

fuente

2 respuestas

Lea otras preguntas en las etiquetas malware webserver linux javascript php

¿Cuál es la diferencia entre un firewall de hardware único y un enrutador? ¿Qué es realmente el rastreo inalámbrico y cómo puede este ataque dañar a alguien?

score 3 · Answer 1

Si hay malware en su servidor, alguien lo colocó allí, así que primero debe consultar la prevención. :) También, a menudo, se colocará en un lugar al que no se hace referencia desde ninguna otra parte del servidor, por lo que, simplemente, arañar su sitio no lo encontrará. Google lo encontrará si / cuando alguien informe la URL exacta, o si está vinculado desde otro sitio comprometido.

Recomiendo tomar otro enfoque: detección de intrusiones basada en host. Para detectar que alguien ha puesto algo en su servidor que no debería estar allí, ejecute periódicamente un script (con cron ) que compruebe que no ha cambiado nada en la raíz de su documento. Si ha habido cambios, envíese una alerta por correo electrónico.

Si no desea escribir su propio script, también hay un software que puede hacerlo por usted. El comprobador de integridad de archivos original se llama Tripwire, y existe una alternativa de código abierto llamada AIDE (en CentOS, ejecute yum install aide como root). Se requiere alguna configuración, pero puede hacer exactamente lo que necesita.

score 0 · Answer 2

La solución a largo plazo para este tipo de cosas es hacer las cosas de una manera más segura. Porque ningún escáner va a encontrar todos los trucos escritos personalizados que se caen en sus sitios. Esto es lo que estoy pensando:

Solo se desarrolla e implementa desde el control de versiones. Es muy común comenzar simplemente presionando el código en el servidor, incluso trabajando sobre la pantalla SSH +. Lo he hecho, estoy seguro de que muchos de nosotros lo hacemos ... Pero, además de todos los otros beneficios del control de versiones, queremos un código base que sabemos que provenía de nosotros (o al menos de nuestras máquinas de desarrollo) y no era el resultado de un dropper de código.
Solo deje que su código escriba en los lugares donde necesita escribir. En primer lugar, esto significa ejecutar el código como otra persona, generalmente www-data . Luego, debe asegurarse de que solo permita que el usuario escriba en los lugares que necesita para escribir. Para la mayoría de la gente esto es lo que? Un archivo de base de datos (si es SQLite) y un directorio de medios si permite cargas. Permitir escrituras en grupo y otras (por ejemplo, lazy chmod -r 777 ) es una forma realmente mala. Encuentra algo de eso y arréglalo.

El problema que esto causará es que Wordpress no podrá actualizar, descargar temas, etc., en forma automática. Dado el poco tiempo que se tarda en hacer esas cosas manualmente (o con un script), sé cuál Estoy más feliz con.
No permita que el código se ejecute desde los directorios en los que puede escribir su código. Así es como funciona la inyección. Si tiene un script de carga (por ejemplo), asegúrese de que su servidor web no permita que se ejecute el código para su producto.

Póngalos juntos y tiene un sistema en el que está relativamente seguro de que el único código que se ejecuta en su sistema es el código que envía a través del control de versiones. Y si alguna vez no está seguro, solo tiene que verificar la copia en su VCS.

Esto obviamente está junto a otras barreras de seguridad basadas en el sistema y elementos disuasorios. Esta respuesta solo trata con los ataques de inyección de código.