Лечение мобильных, поисковых редиректов и дорвеев на...

Сайт после взлома: удаление редиректов и дорвеев

Григорий Земсков, компания “Ревизиум”

Вебинар PENTESTIT

О себе

“Ревизиум” – лечение и защита сайтов

– Григорий Земсков, директор– Разработчик сканера “AI-Bolit”

© “Ревизиум”, 2014, www.revisium.com

Причины взлома

1. Заработок 2. Тренировка3. Хулиганство или сведение счетов


Следствия взлома

1. Вирусы или несанкц. реклама2. Редиректы3. Дорвеи4. Спам рассылка5. Black Hat Seo, фишинг, дефейс и

другое© “Ревизиум”, 2014, www.revisium.com

“Закладки” и лазейки

• Веб-шеллы, бэкдоры, аплоадеры• Менеджеры БД (sxd, pma,

mysqladminer)• Инжекты в сервисы• Привилегированная учетная запись• suid/guid файлы © “Ревизиум”, 2014, www.revisium.com

[1] Вирусы

<script … /><iframe… /><embed …/><object… />html tags© “Ревизиум”, 2014, www.revisium.com

[2] Редиректы

Несанкционированная переадресацияМобильные / поисковые / загрузкаДля чего:• Воровство посетителей• Партнерские программы• Drive-By Downloads© “Ревизиум”, 2014, www.revisium.com

[2] Как работают

• Строка user agent, ip адрес для определения мобильной сети или страны,время захода, cookie, ссылающийся сайт или поисковая система, url страницы


[2] Статические

• Код всегда на странице или в файле

• Редирект на один и тот же ресурс• Вставка в .htaccess, nginx.conf,

javascript или файл .php• Легко поймать и удалить© “Ревизиум”, 2014, www.revisium.com

[2] Динамические

• Код вставляется эпизодически• Редирект на разные ресурсы• Учитывает параметры пользователя• Инжект в сервер, код php +

javascript• Сложно поймать и удалить© “Ревизиум”, 2014, www.revisium.com

[2] Анализ

• Панели веб-мастера поисковых систем

• Специализированные сервисы (YaGo, Sucuri)

• Инструменты разработчика браузеров

• Снифферы траффика © “Ревизиум”, 2014, www.revisium.com

[2] Типы

• Серверные (301/302 HTTP статус)• Клиентские (скрипты, flash, activeX)• Смешанные (на сервере

формируется клиентский код)


[2] Пример серверного 1


[2] Пример серверного 2


[2] Как воспроизвести


• Запрос с подменой User Agent и поля Referer (инструменты Simple REST Client, Chrome UA Spoofer, HTTP Sniffer’ы / Wireshark)



• User Agent Spoofer (Chrome)



• Simple REST Client (Chrome)

[2] Анализ сессии

• Инструменты разработчика браузеров

• Снифферы (например, Wireshark)


[2] Статический анализ• Поиск по файлам• Сканер AI-Bolit


[2] Пример обнаружения


[2] Анализ браузерных


[2] Setup для сниффинга


[2] Снятие HTTP сессии

• Подключить устройство в режиме internet pass-through• Очистить куки браузера и историю посещений в м. браузере• Зайти в поисковую систему, набрать адрес сайта• Запустить запись в Wireshark• Кликнуть по странице сайта в результатах поискового запроса© “Ревизиум”, 2014, www.revisium.com

[2] Анализ сессии

1. Фильтр по http2. Анализировать с последней

переадресации3. Поиск по данным4. Используем Follow TCP Stream5. Выстраиваем цепочку переходов6. Выясняем исходный домен7. Ищем его в коде скриптов, конфигах

или БД


[2] Полезные ссылки

1. http://www.wireshark.org/2. http://zorrobot.ru/tool/yago.php 3. http://sitecheck.sucuri.net/scanner/4. http://revisium.com/ai/ 5. http://webmaster.yandex.ru/6. http://www.google.com/webmasters/ © “Ревизиум”, 2014, www.revisium.com

[2] Кейс “Редирект”

• Воспроизводим редирект• Снимаем сессию в Wireshark• Ищем код в скриптах• Ищем код в БД• Удаляем код в БД• Перепроверяем редирект© “Ревизиум”, 2014, www.revisium.com

[2] Ищем код в WShark


[2] Ищем код в WShark


Последний редирект Первый редирект

[2] Кажется, нашли


[2] Вот он где спрятался


[2] Нет кода :( В БД?


[2] Ищем код в БД


[2] Нашли!


• Чистим код• Чистим кэш• Проверяем

Редиректа нет!

[2] Другие варианты

• Вставляться из кода модулей• Подгружаться с удаленного

сервера• Вставляться на уровне сервера• Вставляться на уровне дин.

библиотек© “Ревизиум”, 2014, www.revisium.com

[3] Дорвеи

• Black Hat SEO страницы• Содержат контент + ссылку• Вредят с т.з. SEO• Статические или динамические


[3] webmaster.yandex.ru


[3] SERP


[3] Как искать

• Проверяем каталоги из webmaster’a• Если их нет, но дорвей открывается

– ищем фрагменты адресов в .htaccess


[3] .htaccess


[3] Дорвей (оригинал)


[3] Дорвей (декодирован)


[3] Что делать дальше?• Удаляем конфиг + скрипт или

файлы• Настраиваем статус 404 для

страниц• Запрещаем их в robots.txt• Проверяем спам-страницы• Ждем обновления поискового

индекса


[3] .htaccess / robots.txt


[3] Проверяем запрос


Другие угрозы

• Спам-рассылки• Фишинговые страницы• Линкфермы / Black Hat SEO ссылки /

клоакинг• Дефейс, рост нагрузки на CPU и

др…© “Ревизиум”, 2014, www.revisium.com

Вопросы?

Спасибо!

Григорий Земсков, компания “Ревизиум”Лечение сайтов и защита от взлома

www.revisium.com, [email protected]


Лечение мобильных, поисковых редиректов и дорвеев на...

Internet

Transcript of Лечение мобильных, поисковых редиректов и дорвеев на...