Cách giải quyết Web bị nhiễm mã độc

[himlamcholonq6]

Hi mọi người, tình hình là web em được đơn vị cho thuê hosting thông báo web mình bị nhiễm mã độc. Vậy web mình bị lỗ hổng nào vậy các bạn, cách xử lý vấn đề này? Chân thành cảm ơn.

[tomytran]

Sự việc:

Thông thường với thông báo bạn nhận được như vậy có nghĩa là trang web của bạn có đặt đường dẫn đến 1 hoặc vài trang khác mà bạn không chủ định làm điều đó.

Nguyên nhân:

Việc này hay xảy ra do web của bạn là gói được chia sẻ trên mạng và thông thường họ biếu bạn không phải biếu không mà biếu cả 1 vài link đến site của họ.

Giải pháp:

Nếu bạn không có phần mềm hỗ trợ việc quét mã độc thì 1 cách đơn giản. Bạn chỉ việc mở site của bạn, rồi mở source code (vd: Chrome thì Ctrl + U ) rồi tìm kiếm các link trỏ đi trang khác. Bạn sẽ thấy nó có thể đặt vị trí -8000 hoặc tương tự để che mắt người trần mắt thịt nhưng lại hiện rõ mồn một với các search engine.

Nếu thấy 1 cái link lạ rồi thì mở rộng điều tra, xem các thẻ trước nó là gì vd <div id="footer"> vậy là khoanh vùng footer để tìm kiếm liên quan.

Tiếp theo, bạn không hiểu, tìm thấy khu vực đó nhưng không thấy code mà bạn nhìn thấy trên source-code??? .... vì nó được mã hóa base64 rồi. Có vẻ bó tay, nếu chưa thạo, hãy liên hệ chuyên gia.

[suamaygiatbk]

Nếu site của bạn trong chữ ký thì chắc bạn phải nâng cấp lên 2.5.

hoặc chạy script này http://forum.joomla.org/viewtopic.php?f=432&t=778693

Lúc trc nhìn thấy topic release 2.5.14 có nhắc tới phần upload file của 1.5 cũng dính lỗi bảo mật. Bạn tìm lại topic đó xem.

[tomytran]

Who you are mentioning to? your link is really informative news. Thanks.

[suamaygiatbk]

chào Tommy,
Mình đề cập tới chủ thớt, himlamcholonq6, đâu dám đề cập tới mod,

[himlamcholonq6]

Mình tìm được cách giải quyết chia sẽ cho mọi người tham khảo thử nhé khi gặp sự cố Web nhiễm mã độc.
1. Nguyên nhân thường thấy
Hosting bị tấn công có thể do lộ thông tin password database (password quá đơn giản ) hoặc do lỗ hỏng từ website.

Thư mục gốc hosting (và các thư mục con bên trong) đang được phân quyền với chmod là 750 và 755, các file php là chmod=644, với quyền này là rất kém bảo mật, các website khác hoàn toàn có thể thấy được và đọc được nội dung (code) dữ liệu.

Lợi dụng các điểm yếu này, hacker dễ dàng upload shell/backdoor lên hosting sau đó chiếm quyền kiểm soát sử dụng hosting.

Máy tính cá nhân bị nhiễm trojan/virus... Lợi dụng quá trình kết nối FTP đến hosting, virus chèn các malware vào trực tiếp nội dung (code) dữ liệu.

Các bugs của mã nguồn mở ( Joomla, Wordpress... ) chưa được update vá lỗi.

2. Cách xử lý
Khi gặp trường hợp này, bạn có thể tham khảo các giải pháp mà chúng tôi đề xuất sau đây :
Reset lại toàn bộ mật khẩu, bao gồm: password database, password quản trị web và password của hosting với độ bảo mật cao ( password có ít nhất : 1 số, 1 chữ thường/HOA và 1 ký tự đặc biệt ).
Download toàn bộ web về máy local và thực hiện rà soát một lượt trên các thư mục xem nếu có file nào "lạ" thì vui lòng xoá để làm sạch website.
Hoặc upload lại source code. Thường thì các shell/backdoor này hacker đặt trong các thư mục Upload, images, ... ( các thư mục có full quyền thực thi).
Sau khi đã upload lại source code an toàn, bạn nên phân quyền cho tất cả thư mục ( kể cả thư mục gốc hosting ) với chmod = 711. Các file là chmod = 444 để an toàn bảo mật. Đối với file có chứa thông tin database, tốt nhất bạn nên mã hoá Base64 để an toàn hơn.
Thường xuyên kiểm tra,cập nhật các bản vá lỗi của loại mã nguồn mở mà bạn đang sử dụng.
Trường hợp tình huống nằm ngoài tầm xử lý của bạn hoặc website bị tấn công quá nặng, bạn nên liên hệ/yêu cầu đơn vị thiết kế website kiểm tra và có trách nhiệm fix các lỗ hổng để tránh tái nhiễm ảnh hưởng hoạt động hosting của bạn.

Ngoài ra, còn có các bài viết khác liên quan đến chủ đề bảo mật mà bạn cũng nên tham khảo :
Cấu hình bảo mật website Joomla

Những cách thức bảo mật website mã nguồn mở trên hosting Linux

Hướng dẫn tạo Password Protect thư mục trên Linux

3. Khôi phục dữ liệu
Nếu bạn và đơn vị thiết kế website đã thất lạc hay không còn lưu giữ source code ban đầu của website?

Đừng lo lắng mà nên liên hệ ngay với chúng tôi qua tổng đài 19001830 hoặc email [email protected], chúng tôi sẽ hỗ trợ restore hosting từ các bản backup server còn lưu giữ ngay khi tiếp nhận thông tin.

Tuy nhiên, bạn cũng nên kiểm tra lại dữ liệu vì có thể dữ liệu không phải là mới nhất. Và chúng tôi sẽ tiến hành phân quyền bảo mật hosting ( nếu bạn có yêu cầu ).

4. Lưu trữ dữ liệu
Mặc định, hệ thống Mắt Bão còn cung cấp công cụ hỗ trợ backup để bạn tự chủ động backup hosting nhằm đảm bảo mọi Khách hàng sử dụng hosting lưu trữ backup an toàn dữ liệu về máy cá nhân của họ.

Hiện có chức năng này đều có trên công cụ quản trị hosting mà bạn đang sử dụng. Hướng dẫn backup hosting

Lưu ý: với bạn rằng việc thường xuyên backup dữ liệu về máy ( thực hiện full backup trên Hosting Controller Panel ) cũng sẽ rất cần thiết nhằm đảm bảo an toàn dữ liệu.

[quanyy]

thường thì một số anh chị nâng cấp lên, nếu nặng quá thì phải làm lại là nhanh nhất

[himlamcholonq6]

Sao làm lại mà nhanh nhất hả quanyy??

[tomytran]

Thông thường 1 template được bán trên mạng bằng tiền thật, nếu bạn có nó bằng các bản lậu do một số đối tượng share thì họ đều có mục đích chứ không phải cho không. Thông thường các bản share đó đều cài code đã được mã hóa theo chuẩn base64 và nó sẽ đặt link trỏ về 1 hoặc nhiều site của người đã share bản code đó. Và thông thường các site đó thì chẳng có tốt đẹp gì và đều có tiền án cả rồi.

Thậm chí có code sẽ đợi 1 thời gian mới kích hoạt đường link trỏ về site của họ và ẩn bằng việc đặt vị trí ngoài phạm vi nhìn thấy của màn hinh, vd left: -9999px

Google và các Search Engine đều kiểm tra độ an toàn của mỗi website và khi site của bạn có chứa link đến trang kia thì sẽ bị đánh đồng là đồng lõa hoặc đồng phạm và cảnh báo không an toàn cho người đọc muốn duyệt site của bạn.

[himlamcholonq6]

MiVaTran, thật sự thì mình vẫn chưa khắc phục được "mã độc" mình vẫn đều đặn nhận cảnh báo từ bên hosting MB. Có lẽ bác tomytran nói có lý vì teplate mình mua rẻ trên mạng và họ tặng kèm mình vài link ẩn không có lợi.

[AmethystHuong02]

bác tommy tran nói đúng...những cái gì cũng có giá của nó, nên cẩn thận với nhứng source và tamplate free trên mạng.

[tomytran]

Thử cầy topic này rồi làm theo xem:

http://diendan.joomlaviet.vn/threads/hu ... host.1847/

[thietkewebvt]

update lên joomla mới nhất
1 - backup code về máy tính, quét virus
2 - check lại database user password
3 - check lại chmod
4 - cài thêm module, component bảo mật cho joomla

[sieuduanq6]

Ủa, cũng khá nhiều người gặp vấn đề này sao? nan giải.

[phamtien2411]

Vấn đề này hình như bên thế giới tin học có đề cập rồi hay sao ấy.
Các bác ghé lại the gioi tin hoc xem thử xem.
Chúc bác may mắn.

[LalaNguyen]

vấn đề web nhiễm mã độc rất nhiều, vì lý do chúng ta thường down các tamplate, source free...cách khác phục còn nhiều vấn đề lan giải. bác nào có kinh nghiệm về đê này chia sẻ cho A/e khắc phục.

[phamtien2411]

không biết bác nào giai quyết xong vấn đề đó chưa?

[AnthonyStan12]

trường hợp bị nhiễm mã độc Web của cũng đang bị gặp phải mà chưa có hướng giải quyết, mỗi lẫn bị hack chỉ có cách lấy lại source cũ...huhu...Anh Em nào có kinh nghiệm và giải quyết chỉ giáo dùm. Em cảm ơn

[ericmax]

Bác nâng cấp lên 2.5 bảo mật hơn lại còn tối ưu được URL

[ngokiemtuan88]

website của bạn trong giai đoạn này có thể đã bị nhiễm vi rút.Nguyên nhân nhiễm vi rút bạn nên tim hiểu cụ thể mới có thể khắc phục được

[himlamriverside]

Mình thấy bạn giải quyết mã độc xong và bỏ luôn cái index.php thấy trang web seo nhanh hơn thì phải?

[Dan Tran]

Mình thấy được hướng dẫn khá cụ thể rồi mà, bạn down code về quét shell rồi up lên lại.