Alguém, pela segunda vez, anexou um pedaço de javascript a um site que eu ajudo a executar. Esse javascript seqüestra o Google adsense, inserindo seu próprio número de conta e colando anúncios por todo o lado.
O código é sempre anexado, sempre em um diretório específico (usado por um programa de anúncios de terceiros), afeta vários arquivos em vários diretórios dentro desse diretório de anúncio (aproximadamente 20) e é inserido aproximadamente no mesmo dia da noite para o dia. Tempo. A conta do adsense pertence a um site chinês (localizado em uma cidade a menos de uma hora de onde eu estarei na China no próximo mês. Talvez eu deva ficar bravo ... brincando, meio que), btw ... aqui está a informação sobre o site: http://serversiders.com/fhr.com.cn
Então, como eles poderiam anexar texto a esses arquivos? Está relacionado às permissões definidas nos arquivos (variando de 755 a 644)? Para o usuário do servidor da web (está no MediaTemple, portanto deve ser seguro, não é?)? Quero dizer, se você tem um arquivo com permissões definidas para 777, ainda não consigo adicionar código à vontade ... como eles podem fazer isso?
Aqui está uma amostra do código real para o seu prazer visual (e como você pode ver ... não é muito importante. O verdadeiro truque é como eles conseguiram chegar lá):
<script type="text/javascript"><!--
google_ad_client = "pub-5465156513898836";
/* 728x90_as */
google_ad_slot = "4840387765";
google_ad_width = 728;
google_ad_height = 90;
//-->
</script>
<script type="text/javascript"
src="http://pagead2.googlesyndication.com/pagead/show_ads.js">
</script>
Como várias pessoas o mencionaram, eis o que eu verifiquei (e, quando verificado, quero dizer, procurei o tempo em que os arquivos foram modificados para detectar qualquer estranheza e eu esperei os arquivos por instruções POST e travessias de diretório:
- access_log (nada ao longo do tempo, exceto tráfego normal (ou seja, excessivo) de bots msn)
- error_log (nada além do arquivo usual não existe erros para arquivos com aparência inócua)
- ssl_log (nada além do habitual)
- messages_log (nenhum acesso FTP aqui, exceto eu)
* ATUALIZAÇÃO: ** OK, resolvi. Os hackers da China colocaram fisicamente um arquivo em nosso site que lhes permite fazer todo tipo de coisa administrativa (acesso ao banco de dados, exclusão e criação de arquivos e diretórios, o que for, eles tiveram acesso). Tivemos sorte de não terem feito algo mais destrutivo. Não havia nada nos arquivos de log normais do apache, mas eu encontrei um conjunto diferente de arquivos de log em um analisador de log de servidor da Web e as evidências estavam lá. Eles estavam acessando esse arquivo com seu próprio nome de usuário e senha de administrador e editando o que precisassem ali no servidor. O arquivo deles tem "apache" definido como usuário, enquanto todos os outros arquivos em nosso site têm um nome de usuário diferente. Agora preciso descobrir como eles conseguiram fisicamente esse arquivo em nosso sistema. Suspeito que a culpa disso acabe com o nosso host (Media Temple),