Обнаружение взломанных файлов через CRON / PHP

Последнее сканирование хэша

Следующее, что нужно сделать, это извлечь данные / время, когда было выполнено последнее сканирование хеша, и получить сохраненный путь / файл и хеш-код из базы данных.

  $ results = mysqli_query ($ db, "SELECT проверено ОТ проверено ГДЕ acct = '$ acct'
     ЗАКАЗАТЬ ПО ТЕСТИРОВАНИЮ DESC LIMIT 1 ");

 если ($ результаты)

 {

     в то время как ($ результат = mysqli_fetch_array ($ Результаты))

     {

         $ испытания = $ результат ['проверено'];

     }

 $ report. = "Последний протестированный $ test.rn";

 } 

Сравните хешированные файлы с записями базы данных

Пока что мы узнали только текущее количество файлов и дату и время последнего сканирования. Значение, которое мы ищем, — идентифицировать измененные файлы, то есть те, которые были добавлены, изменены или удалены. Давайте создадим массив различий.

  // выявить различия

 if (! empty ($ files))

 {

     $ result = mysqli_query ($ db, "SELECT * FROM baseline");

     if (! empty ($ result))

     {

         foreach ($ result как $ value)

         {

             $ baseline [$ value ["file_path"]] = $ value ["file_hash"];

             }

             $ diffs = array_diff_assoc ($ files, $ baseline);

             снята с охраны ($ базовый);

         }

     }



 // сортируем различия в удаленные, измененные и добавленные массивы

 if (! empty ($ files))

 {

     $ results = mysqli_query ($ db, "SELECT file_path, file_hash FROM baseline WHERE acct = '$ acct'");

     if (! empty ($ results))

     {

         $ baseline = array ();  // из базы данных

         $ diffs = array ();  // различия между $ files и $ baseline

                                   // $ files это текущий массив file_path => file_hash

         while ($ value = mysqli_fetch_array ($ results))

         {

             if (! array_key_exists ($ value ["file_path"], $ files))

             {

                 // Удаленные файлы

                 $ diffs ["Удалено"] [$ value ["file_path"]] = $ value ["file_path"];

                 $ baseline [$ value ["file_path"]] = $ value ["file_hash"];

             } еще {

                     // Измененные файлы

                     if ($ files [$ value ["file_path"]] <> $ value ["file_hash"])

                     {

                         $ diffs ["Изменено"] [$ value ["file_path"]] = $ value ["file_path"];

                         $ baseline [$ value ["file_path"]] = $ value ["file_path"];

                     } еще {

                             // неизмененные файлы

                             $ baseline [$ value ["file_path"]] = $ value ["file_hash"];

                     }

             }

         }

         if (count ($ baseline) <count ($ files))

         {

             // Добавленные файлы

             $ diffs ["Added"] = array_diff_assoc ($ files, $ baseline);

         }

         снята с охраны ($ базовый);

     }

 } 

После завершения массив $diffs

Результаты электронной почты

Вам нужно будет добавить расхождения в отчет и электронное письмо.

  // отображаем расхождения

 if (! empty ($ diffs)) {

 $ report. = "Обнаружены следующие расхождения: rnrn";

 foreach ($ diffs as $ status => $ disabled)

 {

     if (is_array ($ disabled) &&! empty ($ disabled))

     {

         ($ тест)?  echo "<li>".  $ статус.  "</ li>": $ report. = "* $ status * rnrn";

         ($ тест)?  echo "<ol>": '';
         foreach ($ влияет как $ path => $ hash) $ report. = "• $ pathrn";

     }

 }

 } еще {

     $ report. = "Файловая структура не повреждена. rn";

 }



 $ mailed = mail ('[email protected] ', $ acct.' Integrity Monitor Report ', $ report); 

Обновите базу данных

Вы еще не закончили!

  //          обновление базы данных

 // очистить старые записи

 mysqli_query ($ db, "DELETE FROM baseline WHERE acct = '$ acct'");



 // вставить обновленные записи

 foreach ($ files as $ path => $ hash)

 {

     mysqli_query ($ db, "INSERT INTO baseline (file_path, file_hash, acct)
         VALUES ('$ path', '$ hash', '$ acct') ");

 }



 mysqli_query ($ db, "INSERT INTO испытания (проверено, acct) ЗНАЧЕНИЯ (NOW (), '$ acct')");



 mysqli_close ($ дБ);

 ?> 

При первом проходе в базовой таблице базы данных ничего не будет, и ВСЕ файлы будут отображаться как Добавленные, поэтому не пугайтесь.

Теперь, когда у вас есть код, куда вы его загружаете? Даже не рассматривайте возможность размещения этого кода в своем веб-пространстве (под DocumentRoot), так как это будет означать, что любой может получить доступ к вашему файлу и удалить сохраненную информацию, чтобы аннулировать ваши хэш-сканы. Для простоты поместите его в тот же каталог вашей учетной записи, в котором находится каталог public_html

Активировать

Теперь, когда у вас есть код, его нужно регулярно активировать. Вот где функция CRON сервера превосходна! Просто используйте вашу cPanel, чтобы создать новую работу CRON, установите время в середине ночи, когда ваш сервер должен почти бездействовать (вы не хотите вмешиваться или задерживать действия посетителей, что также означает, что вы должны ограничить себя одно сканирование в день) и используйте следующую директиву:

  / usr / local / bin / php -q /home/account/hashscan.php 

где /usr/local/bin/php/home/account/hashscan.phphashscan.php

Заворачивать

Мы создали новую базу данных с двумя таблицами, одна для хранения дат и одна для базовых хэшей. Мы инициировали каждое сканирование, идентифицируя типы файлов (по расширению), которые нам необходимо отслеживать, и определяли начальную точку ( DocumentRoot

Мы отсканировали файлы, избегая ненужных каталогов, и сравнили хэши с базовым уровнем в базе данных. Закрывая процесс, мы обновили таблицы базы данных и либо отобразили (на тестовом сервере), либо отправили результаты по электронной почте (с рабочего сервера). Наша работа в CRON будет активировать ваше сканирование хешей на регулярной основе.

Этот ZIP-файл содержит вышеуказанные CreateTable.sqlhashscan.phpCRON.txt

Это лишь часть защиты вашего веб-сайта, поскольку он будет информировать вас только об изменениях типов файлов, которые вы указали. Прежде чем вы зайдете так далеко, вы должны убедиться, что ваши файлы не содержат вредоносных программ (сканирование хостов, установленное вашим хостом, может сделать это, но убедитесь, что вы храните чистую мастер-копию в автономном режиме), убедитесь, что никто, кроме вас, не может загружать файлы через FTP (используя ОЧЕНЬ надежные пароли) и регулярно обновляйте «консервированные приложения» (потому что их патчи закрывают уязвимости, найденные и используемые хакерами и их легионами «сценаристов»).

Итак, БЫТЬ ПАРАНОИДОМ! Может быть, никто не хочет вас поймать, но есть те, кто ищет «пинки» и ищет легкую добычу. Ваша цель — избежать этой классификации.