Обычно, когда заражены файлы .htaccess, обычно это результат украденных (скомпрометированных) учетных данных FTP.
Обычно это происходит из-за вируса на ПК, который имеет FTP-доступ к зараженному веб-сайту. Вирус работает разными способами, но обычно одним из двух.
Во-первых, вирус знает, где бесплатные программы FTP хранят свои сохраненные учетные данные для входа. Например, с FileZilla на ПК с Windows XP, посмотрите:
C: \ Documents and Settings (текущий пользователь) \ Application Data \ FileZilla \ sitemanager.xml
там вы найдете в виде простого текста все веб-сайты, имена пользователей и пароли, которые пользователь использовал FileZilla для доступа по FTP.
Вирус находит эти файлы, читает информацию и отправляет ее на сервер, который затем использует их для входа на веб-сайт (ы) с действительными учетными данными, загружает определенные файлы, в данном случае файлы .htacces, заражает их и затем загружает обратно на сайт. Часто мы видим, где сервер также копирует бэкдоры (сценарии оболочки) на веб-сайт. Это дает хакеру удаленный доступ к веб-сайту даже после изменения паролей FTP.
Во-вторых, вирус работает, перехватывая исходящий трафик FTP. Поскольку FTP передает все данные, включая имя пользователя и пароль, в виде обычного текста, вирус может легко увидеть и украсть информацию для входа в систему таким же образом.
- Немедленно изменить все пароли FTP
- Удалить заражение из файлов .htaccess
- Выполнить полную проверку на вирусы на всех ПК, используемых для передачи файлов FTP на зараженный веб-сайт.
- Если веб-сайт был отмечен Google как подозрительный, запросите проверку в инструментах Google для веб-мастеров.
Если хостинг-провайдер поддерживает это, переключитесь на SFTP, который шифрует трафик, делая его более трудным для прослушивания.
Кроме того, посмотрите на все файлы на предмет того, что там не принадлежит. Трудно найти черные ходы, потому что есть много разных. Вы также не можете перейти по метке даты и времени, потому что эти бэкдоры изменяют метку даты и времени файлов. Мы видели зараженные файлы с той же датой и временем, что и другие файлы в той же папке. Иногда хакеры устанавливают метку даты и времени на случайную более раннюю дату.
Вы можете искать файлы по следующим строкам:
- base64_decode
- 1034 * Exec *
- Еореп
- fsock
- passthru (для файлов .php)
- гнездо
Это довольно распространенные строки в бэкдорах.