Fil-qosor: Biex tivverifika l-fajls ewlenin tas-CMS, qabbel il-fajls installati ma' oriġinal nadif tal-istess verżjoni: f'WordPress permezz tal-checksums uffiċjali, f'sistemi oħra permezz ta' download frisk jew bini mill-ġdid mill-composer.lock. Kull differenza hija kompitu ta' verifika. It-tqabbil isib ukoll kodiċi malizzjuż mhux magħruf, imma jkopri biss fajls li għalihom hemm oriġinal.
Għaliex it-tqabbil isib aktar minn kull firma
L-iskanners tal-malware jfittxu mudelli magħrufa. Dak li ma jafux, jinjorawh. Tqabbil mal-oriġinal jaħdem bil-maqlub: ma jistaqsix jekk fajl jidhirx suspettuż, imma jekk jaqbilx eżattament ma' dak li l-manifattur ikkonsenja. Kull differenza tidher, kemm jekk issegwi mudell magħruf u kemm le.
Wara PHP2Shell dan huwa partikolarment siewi. Għall-vulnerabbiltajiet CVE-2026-109618 u CVE-2026-109619 ma hemm l-ebda Indicators of Compromise ippubblikati u kkonfermati. L-iskanners għalhekk ma jistgħux ifittxu b'mod immirat traċċi ta' PHP2Shell. Tqabbil mal-oriġinal, min-naħa l-oħra, isib kull bidla fil-qalba, irrispettivament minn kif seħħet. Għaliex l-iskanners waħedhom ma jkunux biżżejjed jispjega l-artikolu Skanners tal-malware għal websajts: x'isibu u x'ma jsibux.
Il-prinċipju: l-istess verżjoni, sors nadif
Tqabbil huwa tajjeb biss daqs ir-referenza tiegħu. Tliet kundizzjonijiet iridu jiġu sodisfatti:
- Eżattament l-istess verżjoni: tqabbil ma' verżjoni aktar ġdida juri mijiet ta' differenzi bla ħsara. Iddetermina l-verżjoni installata mill-applikazzjoni jew mill-
composer.lock. - Sors uffiċjali: l-oriġinal joriġina mill-manifattur, mid-direttorju uffiċjali tal-pakketti jew mis-sistema proprja tal-kontroll tal-verżjonijiet. Mhux minn backup qadim tas-server affettwat.
- Tqabbil fuq kopja: aħdem fuq kopja salvata tad-direttorju tal-web, biex it-timestamps u t-traċċi jinżammu.
| Sistema | Referenza | Għodda |
|---|---|---|
| Qalba ta' WordPress u plugins mid-direttorju | checksums minn WordPress.org | wp core verify-checksums, wp plugin verify-checksums |
| Proġetti Composer (pereżempju Shopware 6, Laravel, Symfony, Drupal, TYPO3 fil-modalità Composer) | bini mill-ġdid mill-composer.lock |
composer install f'direttorju vojt, imbagħad diff |
| CMS b'pakkett tad-download | pakkett tal-istess verżjoni mill-manifattur | diff -rq |
| Proġetti proprji b'Git | l-aħħar commit magħruf | git status, git diff |
| Pakketti tas-sistema tas-server | database tal-pakketti tad-distribuzzjoni | dpkg --verify, rpm -Va |
WordPress: aktar minn verify-checksums
Kif tivverifika l-qalba u l-plugins b'WP-CLI jinsab fil-gwida Sib backdoors f'WordPress. Hemm supplement li jixraq: skont id-dokumentazzjoni ta' WP-CLI, l-għażla --include-root tivverifika l-fajls u l-folders kollha fid-direttorju prinċipali u twissi dwar daħliet li ma jappartjenux lil WordPress. Hemmhekk l-attakkanti jħobbu jpoġġu fajls li isimhom jixbaħ lil fajls ewlenin.
# Qalba kontra checksums uffiċjali, inklużi fajls barranin fid-direttorju prinċipali
wp core verify-checksums --include-root
Plugins u themes kummerċjali din it-triq ma tkoprix. Għalihom tniżżel il-pakkett oriġinali tal-istess verżjoni mill-fornitur u tqabbel b'diff.
Verifika tal-fajls ewlenin ta' CMS f'proġetti Composer
Ħafna applikazzjonijiet moderni ta' PHP jikkonsistu l-aktar minn pakketti li Composer jinstalla, l-amministratur tal-pakketti għal PHP. Kif jaħdem jispjegah il-paġna Composer: l-amministratur tal-pakketti għal PHP. Il-fajl composer.lock jiffissa eżattament liema verżjonijiet huma installati. Skont id-dokumentazzjoni ta' Composer, composer install juża dawn il-verżjonijiet eżatti. Hekk l-istat tal-konsenja jista' jinbena mill-ġdid:
# Fuq sistema nadifa, mhux fuq is-server affettwat
mkdir /tmp/referenz && cd /tmp/referenz
cp /pfad/zur/kopie/composer.json /pfad/zur/kopie/composer.lock .
composer install --no-scripts --no-plugins --no-autoloader
# Elenka d-differenzi fil-folder vendor
diff -rq /tmp/referenz/vendor /pfad/zur/kopie/vendor
L-għażliet --no-scripts u --no-plugins jipprevjenu li waqt il-bini mill-ġdid jaħdmu skripts mill-pakketti. Jekk il-produzzjoni ġiet installata b'--no-dev, uża din l-għażla wkoll fil-bini mill-ġdid, inkella pakketti tal-iżvilupp jidhru bħala differenza. Oqgħod attent għal żewġ tipi ta' riżultat: fajls li huma differenti, u fajls li jeżistu biss fuq is-server. It-tieni grupp spiss huwa l-aktar interessanti. Kif tivverifika l-pakketti installati wkoll għal vulnerabbiltajiet magħrufa tiddeskrivi l-gwida Ivverifika d-dipendenzi ta' Composer għal vulnerabbiltajiet.
Qabbel ukoll is-sistema operattiva
Jekk l-attakkant kellu drittijiet ta' root, seta' ssostitwixxa wkoll programmi tas-sistema. L-amministratur tal-pakketti għandu t-tqabbil proprju:
# Debian, Ubuntu: fajls li l-kontenut tagħhom ma jaqbilx mal-pakkett
sudo dpkg --verify
# RHEL, AlmaLinux, Rocky: ivverifika l-pakketti kollha
sudo rpm -Va
5 fit-tielet pożizzjoni tal-output ifisser li l-kontenut ta' fajl inbidel. Skont il-manwal ta' dpkg, it-tqabbil tal-kontenut huwa hemmhekk bħalissa l-unika verifika effettiva. Fajls ta' konfigurazzjoni mibdula huma normali u mmarkati b'c. Programm mibdul f'/usr/bin, min-naħa l-oħra, huwa sinjal serju ta' allarm. Oqgħod attent: attakkant b'drittijiet ta' root jista' jimmanipula wkoll id-database tal-pakketti. Fil-każ ta' suspett ta' aċċess root, rebuild huwa aktar affidabbli minn kull tqabbil.
Sistema tal-kontroll tal-verżjonijiet għall-kodiċi tal-applikazzjoni tagħmel it-tqabbil futur kwistjoni ta' sekondi. git status imbagħad juri kull differenza mill-istat approvat.
Evalwa d-differenzi u għaraf il-limiti
Mhux kull differenza hija attakk. Xi aġenziji qabel adattaw direttament fajls ewlenin minflok ma użaw estensjonijiet. Pakketti tal-lingwa, tmiem ta' linja wara trasferiment permezz ta' FTP jew korrezzjonijiet installati aktar tard joħolqu wkoll differenzi. Id-deċiżiv huwa jekk xi ħadd jistax jispjega l-bidla.
Għaddi minn kull differenza waħda waħda u innota r-riżultat: magħruf u ddokumentat, spjegabbli u bla ħsara jew mhux ċar. Fajls mhux ċari iftaħhom biss bħala test fuq kopja u ssostitwihom mis-sors nadif. Għal fajls li jeżistu biss fuq is-server, il-mistoqsija hija aktar sempliċi: min ma jafhomx għandu jsalvahom u jara jitneħħew, wara li l-kontenut tagħhom ikun ġie vverifikat.
Uploads, fajls ta' konfigurazzjoni bħal wp-config.php jew .env, adattamenti proprji u caches m'għandhomx oriġinal. Iridu jiġu vverifikati b'mod immirat, bħad-database, cronjobs, kontijiet tal-utenti u ċwievet SSH. Tqabbil nadif għalhekk huwa element importanti, imma mhux assoluzzjoni għas-server kollu.
Kif tgħin PHP SOS b'mod konkret?
- Niddeterminaw il-verżjonijiet installati u nibnu referenza nadifa minn sorsi uffiċjali.
- Inqabblu l-qalba, l-estensjonijiet, il-pakketti Composer u l-programmi tas-sistema u nevalwaw kull differenza.
- Nivverifikaw b'mod immirat l-oqsma mingħajr oriġinal u nissostitwixxu l-fajls mibdula minn sors nadif bħala parti mit-Tneħħija tal-malware.
- Fuq talba nistabbilixxu stat ta' verżjoni li kontrih jaħdmu l-verifiki futuri.
Mistoqsijiet frekwenti
Kif nivverifika jekk il-fajls ewlenin ta' WordPress inbidlux?
B'WP-CLI u l-kmand wp core verify-checksums. Iqabbel il-fajls mal-checksums li WordPress.org jippubblika għall-verżjoni installata. Bl-għażla --include-root, WP-CLI iwissi wkoll dwar fajls fid-direttorju prinċipali li ma jappartjenux lil WordPress.
X'nagħmel b'CMS mingħajr funzjoni integrata ta' verifika?
Tniżżel eżattament l-istess verżjoni mis-sors uffiċjali tal-manifattur u tqabbel iż-żewġ direttorji b'diff. Fil-proġetti Composer terġa' tibni l-istat mill-composer.lock f'direttorju vojt u tqabbel il-folder vendor.
It-tqabbil isib ukoll kodiċi malizzjuż fil-plugins u t-themes?
Biss jekk għalihom hemm oriġinal nadif, pereżempju mid-direttorju uffiċjali jew mill-fornitur. Adattamenti proprji, uploads u fajls ta' konfigurazzjoni m'għandhomx oriġinal u jridu jiġu vverifikati separatament.
It-tqabbil jissostitwixxi skanner tal-malware?
Jikkomplementah. It-tqabbil isib kull bidla fil-fajls magħrufa, anke kodiċi malizzjuż mhux magħruf. Imma ma jgħid xejn dwar fajls mingħajr oriġinal, id-database, cronjobs jew aċċessi.