Īsi sakot: Ļaunprogrammatūras skeneris vietnēm galvenokārt atrod zināmus paraugus failos vai piegādātajā lapā. Jauns un apslēpts kods, slēptās piekļuves datubāzē, svešie konti, cronjobs un SSH atslēgas bieži paliek neredzami. „Nekas nav atrasts” tāpēc nenozīmē „tīrs”. Uzticama pārbaude rodas tikai, kombinējot skeneri, salīdzināšanu ar oriģinālu, datubāzes un sistēmas pārbaudi, kā arī uzvedības uzraudzību.
Maldinošais miers pēc zaļās atzīmes
Pēc PHP2Shell daudzi uzturētāji izdarīja to, kas šķiet pašsaprotami: palaida skeneri. Tiešsaistes pakalpojums pārbauda sākumlapu, drošības spraudnis pārmeklē tīmekļa direktoriju, rezultāts ir zaļš. Ar to šķiet atbildēts jautājums, vai pirms ielāpa kaut kas ir noticis.
Problēma ir principā. Lielākā daļa skeneru salīdzina saturu ar zināmas ļaunprogrammatūras paraugiem. Taču ievainojamībām CVE-2026-109618 un CVE-2026-109619 nav publicētu, apstiprinātu Indicators of Compromise; atpazīšana balstās uz uzvedības analīzi. Skeneris nevar meklēt pēdas, ko neviens nepazīst. Labākajā gadījumā tas atrod vispārīgu ļaunprogrammatūru, kas pēc ielaušanās tika ielādēta, ja tā atbilst zināmiem paraugiem.
Tas skenerus nepadara bezvērtīgus. Tas nozīmē tikai to, ka to rezultāts jāvērtē pareizi. Kādas pazīmes līdzās skeneriem ir svarīgas, apraksta Vai esmu jau kompromitēts?.
Ļaunprogrammatūras skeneri vietnēm: trīs konstrukcijas
| Konstrukcija | Ko tā redz | Ko tā neredz |
|---|---|---|
| Ārējais skeneris (tiešsaistes pakalpojums) | piegādātās lapas, iekļautos skriptus, pāradresācijas, bloķēšanas sarakstus | failus, datubāzi, kontus, visu, kas tiek piegādāts tikai noteiktos apstākļos |
| Skeneris CMS (spraudnis vai paplašinājums) | failus tīmekļa direktorijā, daļēji datubāzes saturu, salīdzinājumu ar kodola failiem | sistēmas līmeni, cronjobs, SSH; darbojas, iespējams, kompromitētā sistēmā |
| Skeneris serverī (uz parakstiem balstīts) | visus lasāmos failus, arī ārpus tīmekļa direktorijas | nezināmus un apslēptus paraugus, datubāzi, kontus, uzvedību |
Ārējie skeneri ir noderīgi redzamo seku atpazīšanai, piemēram, pāradresācijām vai ierakstiem bloķēšanas sarakstos. Taču daudzi uzlaušanas gadījumi surogātpasta vai pāradresācijas saturu piegādā tikai noteiktiem apmeklētājiem, piemēram, meklētājprogrammām vai mobilajām ierīcēm. Skeneris tad redz tīru lapu.
Skeneriem CMS ir lielāks ieskats, bet principiāla problēma: tie darbojas tajā pašā sistēmā, kas jāpārbauda. Kods ar pietiekamām tiesībām var ietekmēt to rezultātus, paslēpt failus vai deaktivizēt skeneri. Servera skeneri darbojas ārpus lietojumprogrammas, bet paliek atkarīgi no paraugiem.
Ko skeneri principā palaiž garām
Neatkarīgi no konstrukcijas ir jomas, ko failu vai lapu skeneris tikko spēj aptvert:
- Jauns vai individuāli apslēpts kods: katrs variants, kas izskatās citādi nekā zināmie paraugi, izslīd cauri.
- Datubāze: skripti saturā, mainīti iestatījumi, trigeri un svešie konti. Vairāk sadaļā Datubāzes pārbaude, vai tajā nav ielikta koda.
- Piekļuves: papildu administratoru konti, SSH atslēgas, datubāzes lietotāji, konti hostinga panelī.
- Sistēmas pakalpojumi un cronjobs: mehānismi, kas regulāri no jauna ielādē ļaunprātīgu kodu.
- Neuzkrītošas izmaiņas leģitīmos failos: viena papildu rindiņa kodola failā, kas izskatās nekaitīga.
- Aizplūdušie dati: vai piekļuves dati vai klientu dati tika nokopēti, neparāda neviens skeneris.
Kas tā vietā rada skaidrību
Lielāku drošību dod dažādi strādājošu pārbaužu veidu kombinācija:
- Salīdzināšana ar oriģinālu: tā atrod katru izmaiņu zināmos failos neatkarīgi no paraugiem. Rīcību apraksta CMS kodola failu salīdzināšana ar oriģinālu.
- Mērķtiecīga meklēšana pēc neparastām pazīmēm: PHP faili augšupielāžu mapēs, nesen mainīti faili, apslēpts kods, izpildāmi faili pagaidu mapēs.
- Kontu un sistēmas pakalpojumu pārbaude: lietotājus, atslēgas, cronjobs un pakalpojumus salīdzināt ar zināmo ideālo stāvokli.
- Žurnālu izvērtēšana: pieprasījumi uz nezināmiem failiem, kļūdu uzkrāšanās, neparastas pieteikšanās.
- Uzvedības uzraudzība: tīmekļa servera procesi, kas startē čaulu, negaidīti izejošie savienojumi, jauni faili jutīgās mapēs.
Pēdējā kategorija ir svarīgākā, ja zināmu pēdu nav. Tā nejautā, kā ļaunprātīgs kods izskatās, bet ko tas dara. Tīmekļa servera process, kas pēkšņi startē čaulu, ir pamanāms neatkarīgi no tā, cik apslēpts ir iniciējošais kods.
Servera skeneri palaidiet no tīras sistēmas uz tikai lasāmas kopijas, nevis uz paša aizdomīgā servera. Tā ielikts kods nevar ietekmēt rezultātu.
Kā skenerus lietot jēgpilni
Skeneriem ir sava vieta kā vienam rīkam no vairākiem. Ārējais skeneris der kā regulāra redzamo seku kontrole, piemēram, reizi nedēļā. Skeneris CMS ikdienā ziņo par zināmu ļaunprogrammatūru un mainītiem kodola failiem. Servera skeneris papildina zināmo paraugu meklēšanu visā failu sistēmā.
Izšķirošs ir rezultāta izmantojums. Atradums ir skaidrs pārbaudes uzdevums un attaisno pilnīgu izmeklēšanu, jo reti ir skarts tikai viens fails. Tukšs rezultāts turpretī ir tikai apgalvojums par pārbaudītajiem paraugiem. Dokumentācijā fiksējiet, kurš skeneris kad ar kādu stāvokli darbojās, un rakstiet nevis „sistēma tīra”, bet „zināmi paraugi nav atrasti”.
Vadībai tas nozīmē: zaļa atzīme neaizstāj pārbaudi, ko veic kāds, kas kopīgi aplūko failus, datubāzi, kontus un uzvedību. Pēc incidenta ar iespējamu koda izpildi, kā tas PHP2Shell gadījumā ir iespējams, šādai pārbaudei jānotiek.
Ja skeneris tomēr ziņo par atradumu, nepieciešama ātra, bet sakārtota rīcība. Nedzēsiet ziņoto failu uzreiz ar skenera funkciju. Vispirms nodrošiniet failu un žurnālus, lai varētu noskaidrot, kā tas nonāca serverī. Kā norit pilnīga attīrīšana, apraksta pakalpojums Ļaunprogrammatūras un webshell noņemšana.
Kā PHP SOS palīdz konkrēti?
- Mēs kombinējam skenerus ar salīdzināšanu pret oriģinālu, mērķtiecīgu meklēšanu un kontu, pakalpojumu un žurnālu izvērtēšanu.
- Mēs pārbaudām aizdomīgas sistēmas, izmantojot nodrošinātas kopijas, lai rezultātus neietekmētu kompromitētā sistēma.
- Mēs katru rezultātu godīgi atzīmējam kā pierādītu, ticamu vai nezināmu.
- Ar servera drošības uzraudzību tīmekļa serveriem mēs pastāvīgi uzraugām jūsu serveru uzvedību, ne tikai zināmos paraugus.
Biežāk uzdotie jautājumi
Vai mana vietne ir tīra, ja ļaunprogrammatūras skeneris neko neatrod?
Ne obligāti. Skeneri galvenokārt atrod zināmus paraugus. Jauns vai labi apslēpts kods, slēptās piekļuves datubāzē, svešie konti, cronjobs un SSH atslēgas bieži paliek neatklāti. Tukšs rezultāts ir viens elements, nevis attaisnojums.
Kāda ir atšķirība starp ārējo skeneri un spraudņa skeneri?
Ārējais skeneris izsauc vietni no ārpuses un redz tikai to, kas tiek piegādāts. Spraudņa skeneris darbojas CMS iekšienē un var lasīt failus, bet darbojas tajā pašā sistēmā, kas, iespējams, ir kompromitēta. Abiem ir savi aklie plankumi.
Vai pastāv skeneru paraksti PHP2Shell?
PHP2Shell nav publicētu, apstiprinātu Indicators of Compromise. Tāpēc skeneri nevar mērķtiecīgi meklēt pārbaudītas PHP2Shell pēdas. Atpazīšana balstās uz uzvedības analīzi un vispārīgu kompromitēšanas pazīmju meklēšanu.
Kurš skeneris ir labākais?
Jautājums maldina. Svarīgāka par konkrētu produktu ir dažādu pārbaužu veidu kombinācija: salīdzināšana ar oriģinālu, meklēšana failos un datubāzē, kontu un sistēmas pakalpojumu pārbaude, kā arī uzvedības uzraudzība.