Seseorang, untuk kedua kalinya, menambahkan potongan javascript ke situs yang saya bantu jalankan. Javascript ini membajak Google adsense, memasukkan nomor akun mereka sendiri, dan menempelkan iklan di mana-mana.
Kode selalu ditambahkan, selalu dalam satu direktori tertentu (satu digunakan oleh program iklan pihak ketiga), mempengaruhi sejumlah file dalam sejumlah direktori di dalam satu dir iklan ini (20 atau lebih) dan dimasukkan pada sekitar malam yang sama waktu. Akun adsense milik situs web Cina (terletak di kota tidak satu jam dari tempat saya akan berada di Cina bulan depan. Mungkin saya harus bangkrut ... bercanda, semacam), btw ... ini adalah info tentang situs: http://serversiders.com/fhr.com.cn
Jadi, bagaimana mereka menambahkan teks ke file-file ini? Apakah ini terkait dengan izin yang ditetapkan pada file (mulai dari 755 hingga 644)? Untuk pengguna server web (ada di MediaTemple sehingga harus aman, ya?)? Maksud saya, jika Anda memiliki file yang izinnya diset ke 777, saya masih tidak bisa menambahkan kode sesuka hati ... bagaimana mungkin mereka melakukan ini?
Berikut adalah contoh kode aktual untuk kesenangan menonton Anda (dan seperti yang Anda lihat ... tidak banyak. Trik sebenarnya adalah bagaimana mereka mendapatkannya di sana):
<script type="text/javascript"><!--
google_ad_client = "pub-5465156513898836";
/* 728x90_as */
google_ad_slot = "4840387765";
google_ad_width = 728;
google_ad_height = 90;
//-->
</script>
<script type="text/javascript"
src="http://pagead2.googlesyndication.com/pagead/show_ads.js">
</script>
Karena sejumlah orang telah menyebutkannya, inilah yang telah saya periksa (dan dengan mengecek maksud saya, saya melihat-lihat waktu file-file tersebut dimodifikasi untuk keanehan dan saya mengambil file-file untuk pernyataan POST dan direktori traversal:
- access_log (tidak ada waktu kecuali lalu lintas bot normal msn)
- error_log (hanya file biasa yang tidak ada kesalahan untuk file yang tampak tidak berbahaya)
- ssl_log (tidak lain dari biasanya)
- messages_log (tidak ada akses FTP di sini kecuali saya)
* PEMBARUAN: ** OK, selesaikan. Peretas dari Cina secara fisik menempatkan file di situs kami yang memungkinkan mereka untuk melakukan segala macam hal administratif (akses database, menghapus dan membuat file dan dir, sebut saja, mereka memiliki akses). Kami beruntung mereka tidak melakukan sesuatu yang lebih merusak. Tidak ada dalam file log apache normal tapi saya menemukan satu set file log yang berbeda di penganalisa log server web dan bukti ada di sana. Mereka mengakses file ini dengan nama pengguna dan kata sandi admin mereka sendiri dan kemudian mengedit apa pun yang mereka butuhkan di server. File mereka memiliki "apache" yang ditetapkan sebagai pengguna sementara semua file lain di situs kami memiliki nama pengguna yang berbeda. Sekarang saya perlu mencari tahu bagaimana mereka secara fisik mendapatkan file ini ke sistem kami. Saya curiga kesalahan ini akhirnya akan terjadi pada host web kami (Media Temple)