شناسایی اسکریپت های r57.php و c99.php به صورت real-time

[ciscoman]

با سلام
دوستان من روی یکی از وب سرورهام تست انجام دادم اسکریپت های c99.php , r57.php اجرا شدند و maldet خیلی لحظه ای برای پاک کردن این دو اقدام نکرد! (هر چند محدودیتهای دیگر اعمال می شود ولی اجرای این دو ترسناک بود!!)


حدود 1 دقیقه زمان برد تا این شل ها توسط maldet شناسایی شوند. توابعی که غیر فعال کرده بودم :

Disable_functions = show_source,system,shell_exec,passthru,phpinfo,proc_open,allow_url_fopen,symlink,proc_close,proc_terminate,phpinfo,        diskfreespace 

شلهای دیگر اجرا نشدند!راهی هست این دو اجرا نشوند ؟
و اینکه anti malware که واقعا لحظه ای عمل کند وجود دارد؟!

[linuxtrack]

شاید تنظیمات خاصی داره، نرم افزار cxs را هم تست کنید.

[ciscoman]

تنظیمات خاص و کانفیگ پیچیده ای ندارد در حالت raeal time و مانیتور قرار داشت ولی با این حال زمان برد تا اقدام به پاک کردن c99... کند.

البته اینجا mod security نبود باید جایی که mod security باشد تست کنم شاید بعضی از رل ها از این اسکریپت جلوگیری کند.....

[behrooz]

تابع exec و popen رو هم ببند به فکر این نباش که طرف نتونه شل رو اجرا نکنه چون اگر از آنتی شلر ها استفاده کنی هکر میاد شل رو کد میکنه و اونوقت باز هم شل اجرا میشه.

[linuxtrack]

Gzinflate تابع
باید بسته شود البته باید چک کنم، که مشکلی پیش نیاد (اسکریپتهایی که چک کردم کد شده بود)
و.اینکه باید از رول های مناسب mod security استفاده کرد.

[behrooz]

این لینک را هم بخونید : https://configserver.com/cp/cxs.html