[請益] PHP 被植入惡意 code

[darkk6 (Mr. Pan)]

大家好，其實不太確定該發在哪邊比較妥當...
不過因為都只有 .php 的檔案被植入 code ,
用的是 apache 所以想說是不是哪邊有漏洞


今天下午赫然發現某 Server 上的絕大多數 php 檔案
都被植入一行程式碼：
        eval(base64_decode("XXXXXXXX"));

裡面的 Code 我把它 base 64 decode 後是判斷
Client 的瀏覽器和來源，只要是從搜尋網站進入的 (google,yahoo,bing... 等)
話，都 header("location: xxxx") 到某個網站。


Server 狀況是：
        Windows Server 2003
        AppServ 架站包 (php,mysql,apache,phpMyadmin)
        FileZilla Server

防火牆設定是 80 port , 21 port 和區域網路中
特定三個 IP 的所有連線 allow，其餘都 deny

FTP 只有一個帳號，該帳號底下只能 access 一個 WebRoot 底下的目錄

但調查後發現，所有在 apache WebRoot (我這邊是 D:\www\ )底下 90%
的 .php 檔案都被插入了那段 code.


想請問一下各位，不知道有沒有遇過這個問題，比較好奇的是，這種情況底下
是經由甚麼管道來 inject 這些 code 的 @@

謝謝。

--
※ 發信站: 批踢踢實業坊(ptt.cc) 
◆ From: 122.121.193.160
推 LaPass:之前我遇過的是從ftp....
→ LaPass:php本身也能讀取檔案、寫入檔案，所以也有可能....
→ kerash:有沒有提供檔案上傳的狀況
→ chenlarry:不要再用AppServ了...幾百年沒更新了，很多漏洞
→ chenlarry:最新穩定版本是2008年的東西..PHP還在5.2版，現在都5.4
→ chenlarry:了，2009年我用那個最新版本，apache被駭客穿透，被值入
→ chenlarry:信用卡釣魚網站，之後我就養成常常升級的習慣，尤其是有
→ chenlarry:重大安全性更新的時候一定要升版號..
→ chenlarry:另外他的apache還在2.2.4，現在都2.4.X了
→ dlikeayu:你都沒提到檔案權限我想這也是為什麼被駭的原因
推 pigwolf:看檔案修改時間，找apache access log看看當時
→ pigwolf:的記錄有沒有異常網址，沒有再看系統的記錄
推 gmoz:為什麼我感覺好像有看過類似的文章xD
→ maplenote:有用ckeditor、uploadify之類含有上傳功能的嗎？
推 litleaf:就是被駭了 應該有個webshell 用了批次插碼的功能
推 dontkissme:你有用WORDPRESS之類的架站工具嗎
推 xampp:用植入當關鍵字搜尋本板文章 看看能否找到解答