Общая тема о борьбе с шеллами и вирусами на сайте

Если мониторить логи для каждого сайта, сильно удивитесь, сколько будет таких обращений. У себя часто вижу обращения даже для dle на сайте вп.

боты, боты и еще раз боты...

Частично можно запретить им доступ к сайту, используя то что большинство из них делает это весьма специфически.

Это же еще, как я понимаю, поведенческие ухудшает - если боты неучтенные, например.

Или метрика/аналитикс это дело распознает для какого-нибудь "левого" бота?

С этим уже в сео разделы. Тут не просто технический раздел - тут безопасность обсуждается ;)

Обнаружил у себя на сайте шелл.

Может кто подсказать, для чего он и какие последствия?

PS: только не знаю куда сам файлик выложить )

Выкладывать смысла нет, шелл как шелл. Последствия, будут лазить по вашему сайту, ставить заразу, удалять контент и т.д. т.е. полный доступ.

Всем доброго дня!

периодически возникают подобные проблемы...

и к этому плагину пытаются получить доступ и к другим.

все перебираемые плагины - отсутствуют в моем ВП (т.е. просто перебираются известные уязвимости).

запрос данных путей детектируются через мониторинг 404 ошибки.

также периодически пытаются пройти не через плагины, а через темы.

практически все попытки доступа - из сопредельной страны. Тк там целевой аудитории быть не может - блокирую по IP.

в связи с этим 2 вопроса...

может ли Яндекс или Гугл использовать например украинские IP для доступа к сайтам в РФ? или такое практически исключено? те блокируя эти урл не могу ли я закрыть лишнего?

и второй вопрос...

насколько стоит закрывать wp-content/plugins через htaccess

типа такого

RewriteRule ^wp-content\/plugins\/* index.php [L,R=301] или на другую страницу с соответствующей проблеме картинкой

не помешает ли такое перенаправление нормальному функционированию сайта?

а для простукивания тем

RewriteRule wp-content\/themes\/!моя_тема\/* index.php

что скажете?

Вопрос знатокам.

Есть небольшой сайт (2000 стр), на обычном виртуальном хостинге. Сайт на простом самописном движке (почти чистый хтмл плюс инклуды на php). Сайт единственный на этом аккаунте. Сайт нередко взламывается (проявляется это в том, что на него заливаются шеллы, которые потом выводят на страницах скрытые ссылки, видные в сохраненной копии яндекса).

Месяц назад заново полностью залил сайт на хостинг из заведомо чистой копии. Логи включены. Каждый день проверяю сайт на вирусы сканером ай-болитом.

Вирусов на домашнем компе нет (по крайней мере, kav, avast ничего не находят).

Вчера ай-болит нашел шелл (Web Shell by oRb) и еще какой-то непонятный файл.

На этом самописном движке у меня полсотни сайтов, работают по 7-10 лет, разбросаны на разных хостингах, но взламываются только на этом хостинге. Хостер отрицает свою причастность к проблеме ("у нас все чисто").

Вопрос: учитывая, что месяц назад сайт был заведомо чист, а все логи за последний месяц имеются в наличии, можно ли достоверно определить, как на сайт заливаются левые файлы?

Если взламывается, значит, там не просто инклуды :)

Методические указания:

После взлома найти файл(ы) с самой свежей датой изменения

Убедиться, что в них присутствует вредоносный код

Найти в логах веб-сервера запросы, с датой максимально близкой к дате изменения файла(ов)

Если есть подозрительные запросы, изучить их и понять, в каком скрипте эксплуатируется уязвимость.

Если нет запросов, найти в логах FTP, SSH и пр. авторизации, совпадающие вышеупомянутой датой.

Если есть авторизации с чужих (не с ваших) IP-адресов, значит, у вас украли пароль.

Если есть авторизации в это же время, но только с вашего IP, значит, у вас на компьютере троян.

Если вообще нет авторизаций в это время, значит, уязвимость в самом хостинге (довольно редкое явление).

Этот топик не для вопросов: