阻擊惡意軟件--清除和保護你的網(wǎng)站的小技巧 |
作者：Mark Berghausen 發(fā)布時(shí)間：2006-06-27 瀏覽：3328次 |
這篇文章提供從網(wǎng)站上清除惡意軟件并保持網(wǎng)站干凈的方法。它是一個(gè)起始點(diǎn)。之所以是起始點(diǎn)，是因為我們應該會(huì )不斷更新它并提供更多的方法。請注意，這篇文 章中的方法絕不是全面的或詳盡的。我們只想把它作為是關(guān)心惡意軟件的站長(cháng)們要做的第一步。我們鼓勵站長(cháng)們和網(wǎng)站寄存服務(wù)商們撇開(kāi)這里所提供的建議，獨立研 究網(wǎng)站的安全。獲取關(guān)于網(wǎng)站安全問(wèn)題的最新消息是站長(cháng)和網(wǎng)站寄存服務(wù)商們自己的責任。 惡意軟件的識別讓您的網(wǎng)站保持不受惡意軟件侵犯的第一步是檢查你的網(wǎng)站上是不是已經(jīng)有了惡意軟件。惡意軟件往往根本不顧用戶(hù)選擇如何使用他們的計算機。有些應用軟件是惡意軟件，因為他們的行為是欺騙性的或不可逆轉的（例如，有的應用程序秘密安裝難以或根本無(wú)法卸載的間諜軟件）。還有些應用軟件是惡意軟件，因為他們有不良行為（如顯示彈出式廣告或改變用戶(hù)的主頁(yè)設置）。這些行為往往事先不讓用戶(hù)知道，也無(wú)從得到用戶(hù)的同意。你可以從我們的軟件指南中學(xué)到更多東西。這里是一些你應該查一查的常見(jiàn)的惡意軟件類(lèi)型： （譯者按： 如果你的網(wǎng)站被Google在，或是在谷歌站長(cháng)工具里的某個(gè)網(wǎng)站概括中有一個(gè)惡意軟件標簽，那么你在站長(cháng)工具里可以看到你的感染了惡意軟件的URL的樣本。） 1. 你的網(wǎng)站有可以下載的惡意軟件根據StopBadware的軟件指南，評估你提供下載的軟件（包括任何第三方捆綁在你的軟件上的應用軟件）。如過(guò)你提供下載的軟件違背了我們的指南，它就構成了惡意軟件。如果你的軟件和第三方應用程序捆綁，你可能還需要檢查是否捆綁軟件會(huì )安裝任何危險性或欺騙性的代碼。一個(gè)檢測方法是，下載整個(gè)捆綁軟件到一個(gè)虛擬機，然后使用反病毒或反間諜軟件對它掃描。 2. 在你指向的網(wǎng)站中存在的惡意軟件如果你的網(wǎng)站鏈向惡意網(wǎng)站，你的網(wǎng)站訪(fǎng)問(wèn)者就處于危險之中，哪怕是惡意軟件或代碼漏洞實(shí)際上不寄存在你的網(wǎng)站上。在以下情況下，你的網(wǎng)站可能違反了我們的網(wǎng)站指南：如果你的網(wǎng)頁(yè)自動(dòng)重定向到一個(gè)寄存或傳播惡意軟件的網(wǎng)站; 直接鏈接到惡意軟件的可執行文件上; 鏈接到另一個(gè)企圖自動(dòng)安裝惡意軟件到用戶(hù)電腦的網(wǎng)站; 或者是含有大量鏈接到其他主要是寄存或傳播惡意軟件的網(wǎng)站。有一些方法可以判斷你網(wǎng)站上的鏈接是否違反了我們的指南。檢查你的所有鏈接，看是否有些鏈接會(huì )讓用戶(hù)下載其他網(wǎng)站上的惡意軟件，或導致用戶(hù)去訪(fǎng)問(wèn)其他網(wǎng)站上已被惡意軟件感染的網(wǎng)頁(yè)。（我們建議你在找惡意軟件的時(shí)候用一個(gè)虛擬機，以避免損壞你自己的電腦）。以下方法也可能是有用的：通過(guò)搜索你的網(wǎng)站的源代碼來(lái)并尋找到不明網(wǎng)站的鏈接，特別是到可執行文件的鏈接?？蓤绦形募臄U展名包含.exe, .bat, .cmd, .scr, 以及.pif。有的應用軟件可讓您對一個(gè)網(wǎng)頁(yè)的惡意鏈接進(jìn)行掃描。你也可以使用這些應用程序來(lái)幫助決定是否鏈接到該網(wǎng)頁(yè)。 您也可以把StopBadware報告以及我們的惡意軟件網(wǎng)站清除站作為一種資源。你可以查詢(xún)我們的數據庫來(lái)得到你已經(jīng)鏈接到的或者是想要鏈接到的網(wǎng)站和軟件的信息。 3. 通過(guò)你網(wǎng)站上的廣告傳播的惡意軟件在你的網(wǎng)站上發(fā)布的廣告是另一種惡意軟件的潛在來(lái)源，因為大多數的廣告包含到一個(gè)外部網(wǎng)頁(yè)的直接鏈接。關(guān)于通過(guò)鏈接找出惡意軟件的指南信息，請參閱第以上的1.2節。如果你在你的網(wǎng)站上展示第三方的廣告，請確保那些鏈接不被引向不良軟件或被惡意軟件感染的網(wǎng)頁(yè)。評估通過(guò)廣告傳播的軟件的方法類(lèi)似于在上面您也可以把StopBadware深度報告以及我們的惡意軟件網(wǎng)站清除站作為一種資源。使用我們的數據庫來(lái)檢查你正在考慮使用的廣告網(wǎng)絡(luò )，以了解是否有其他網(wǎng)站已經(jīng)因為那些廣告商而產(chǎn)生了惡意軟件的問(wèn)題。 4. 貼在你網(wǎng)站的用戶(hù)區上的惡意軟件鏈接如果在你網(wǎng)站的任何部分，用戶(hù)可以張貼或上傳內容，這些地區可能是一個(gè)潛在的惡意軟件或惡意軟件鏈接源。關(guān)于惡意軟件和惡意軟件鏈接，請參閱上面的1.1節及1.2節。5. 你的網(wǎng)站受到黑客攻擊另一種常見(jiàn)的惡意軟件網(wǎng)站來(lái)自黑客攻擊。黑客攻擊是第三方在安全性很低的網(wǎng)站上插入代碼或可執行文件。一個(gè)常見(jiàn)的例子是"注入攻擊"，即黑客利用安全漏洞來(lái)在你的一個(gè)網(wǎng)頁(yè)上注入有害代碼。通常這個(gè)代碼對你及你的用戶(hù)來(lái)說(shuō)是不可見(jiàn)的，但它會(huì )在一個(gè)訪(fǎng)問(wèn)者的電腦后臺觸發(fā)惡意軟件的下載。你經(jīng)常通過(guò)察看你的網(wǎng)頁(yè)的源代碼來(lái)發(fā)現這種攻擊是否發(fā)生，從而確定它是否包含你從來(lái)沒(méi)寫(xiě)過(guò)的任何代碼。兩種常見(jiàn)的"注入攻擊"類(lèi)型是： 無(wú)形的隱藏框架(invisible iframe)Iframe標簽是一種HTML標簽。一個(gè)iframe在一個(gè)網(wǎng)頁(yè)上創(chuàng )建一個(gè)小"窗口"，在這個(gè)內嵌窗口中可以載入另一個(gè)頁(yè)面。Iframe并非總是用于不可告人的目的; 它被經(jīng)常用來(lái)，舉例來(lái)說(shuō)，在博客中嵌入一個(gè)視頻。當惡意黑客使用它時(shí)，iframe可以被設置成小到看不見(jiàn)。訪(fǎng)問(wèn)受感染網(wǎng)頁(yè)的用戶(hù)永遠不會(huì )知道另一頁(yè)也在小iframe窗口里被載入。如果你在你網(wǎng)站上的一頁(yè)中看到一個(gè)iframe的寬度是"0"，高度也是"0"的代碼，你就找到了一個(gè)看不見(jiàn)的iframe。Iframe最常見(jiàn)的是被插在網(wǎng)頁(yè)源代碼的最上端或最底端。檢查iframe應首先檢查開(kāi)始網(wǎng)頁(yè)標準代碼的標簽前，或結束網(wǎng)頁(yè)代碼的標簽后。混淆代碼 (Obfuscated Code)混淆代碼或腳本通常被隱藏在你的網(wǎng)站正常代碼中，所以他們可以很難被察覺(jué)。這些代碼是專(zhuān)門(mén)為了防止自動(dòng)化查找工具發(fā)現他們?；煜a不一定是惡意軟件; 一些合法的編程者故意混淆編碼以防止他人復制自己的工作。但是，如果你為你網(wǎng)站寫(xiě)的代碼并不是想故意混淆，找到一塊混淆代碼可能說(shuō)明有一個(gè)注入攻擊。最常見(jiàn)的兩種混淆代碼的方式是通過(guò)編碼和加密。編碼有時(shí)會(huì )很容易被看到，因為編碼或者使用十六進(jìn)制, "unicode”, 或“寬"字符。如果是十六進(jìn)制字符，你會(huì )看到javascript代碼的字符串由一些百分號后加兩個(gè)字符的組合組成（例如％AA％BB％CC）。如果是unicode字符，你會(huì )看到字符串由一些"u"緊隨著(zhù)四個(gè)字符組成（例如： u0048u0069u0021）。一般而言，編碼成這種方式的代碼塊會(huì )占用若干段落。如果您在你的網(wǎng)頁(yè)源代碼里發(fā)現大塊上述模式中的任何一種，它很可能是混淆代碼。 加密代碼更難被找到，因為他們沒(méi)有一套模式。然而，加密代碼看上去會(huì )像一塊費解的文字。即使你不熟悉javascript編程，你會(huì )注意到你的網(wǎng)站上正常的javascript代碼會(huì )使用基于常用英語(yǔ)單詞的語(yǔ)法。編碼或加密了的文本看上去就是完全不能理解的字母，數字和符號塊。你應檢查你網(wǎng)站日志來(lái)看看有沒(méi)有對你所不認識的可執行文件的引用?？蓤绦形募臄U展名包含.exe, .bat, .cmd, .scr, 以及.pif。 雖然大多數黑客的攻擊重點(diǎn)是html代碼，壞軟件本身也有可能被上載到安全性很差的網(wǎng)站。不良軟件可能包括不明的可執行文件（譬如以.exe, .bat, .cmd, .scr, 以及.pif結束的文件），javascript文件，甚至把圖片上傳到您的網(wǎng)站而你并未發(fā)覺(jué)。有時(shí)攻擊者僅僅想利用你的網(wǎng)站來(lái)寄存惡意軟件，然后從其它受害網(wǎng)站鏈接到該軟件。這里有一個(gè)檢測你的網(wǎng)站是否被寄存了不良軟件的方法，即從你的正在運行的網(wǎng)站中下載所有的源代碼到一個(gè)虛擬機，然后使用反病毒或反間諜程序進(jìn)行掃描。 惡意軟件的清除如何從你的網(wǎng)站去清除惡意軟件取決于你的網(wǎng)站寄存或鏈接了什么樣的惡意軟件。我們一般建議你在清除惡意軟件和加強安全性之前先使你的網(wǎng)站離線(xiàn)，以防止你的網(wǎng)站訪(fǎng)客者在你清除過(guò)程中被不知不覺(jué)地感染。1. 如果你的網(wǎng)站寄存了可下載的不良軟件從你的網(wǎng)站上刪除不良軟件，不要再讓它可供下載除非你確保它不是壞軟件。你可以在我們的指南里了解更多關(guān)于什么是惡意軟件的知識。如果你是一個(gè)問(wèn)題軟件的作者，StopBadware為如何使您的軟件符合我們的指南提供了一些建議。2. 如果你的站點(diǎn)鏈接到惡意軟件從你的網(wǎng)站上清除所有到惡意軟件的鏈接。3. 如果你的網(wǎng)站上的廣告鏈接到惡意軟件刪除所有鏈接到惡意軟件的廣告。如果你使用一個(gè)廣告網(wǎng)絡(luò )，這可能意味著(zhù)從你的網(wǎng)站上刪除該網(wǎng)絡(luò )的所有廣告，直到你肯定該廣告網(wǎng)絡(luò )是干凈的。你也許可以聯(lián)絡(luò )你的廣告商，讓他們知道他們在你的網(wǎng)站上的一個(gè)或多個(gè)廣告是惡意軟件鏈接。4. 如果惡意軟件是從你的用戶(hù)區得到的鏈接從你的站點(diǎn)刪除惡意軟件的鏈接。你可能要編輯用戶(hù)的帖子以消除惡意軟件內容，或刪除用戶(hù)的整個(gè)帖子。5. 如果你的網(wǎng)站已經(jīng)被黑了首先讓你的網(wǎng)站離線(xiàn)，這樣你網(wǎng)站訪(fǎng)客和你的客戶(hù)就不會(huì )有訪(fǎng)問(wèn)風(fēng)險。然后刪除所有不良代碼，修復所有安全漏洞。最后才把你的網(wǎng)站重新上線(xiàn)。發(fā)現并去除特定的黑客插入的壞代碼塊以使你的站點(diǎn)干凈是一時(shí)的。要使你的網(wǎng)站將來(lái)也不受到感染，你必須修補安全漏洞來(lái)防止黑客在你的網(wǎng)站插入代碼。因此，一定要確保消除任何攻擊者留下的后門(mén)。黑客留下的后門(mén)會(huì )使他們重新回到你的網(wǎng)站，即使你封鎖了你的網(wǎng)站。你的寄存服務(wù)商也應該能夠幫助你查出你網(wǎng)站的安全漏洞，所以如果你認為你的網(wǎng)站已經(jīng)被黑，和他們聯(lián)系應該是當務(wù)之急。你也可以察看一下你的寄存服務(wù)商的論壇，看看使用該寄存服務(wù)的其他網(wǎng)站是否也已經(jīng)被攻破。訪(fǎng)問(wèn)你網(wǎng)站所使用的軟件的用戶(hù)論壇也可以幫你看看有沒(méi)有其他用戶(hù)因為軟件漏洞而失密，或者是你的網(wǎng)站沒(méi)有對該軟件的安全補丁進(jìn)行更新。 惡意軟件的預防
1. 在讓網(wǎng)站可下載軟件之前進(jìn)行惡意軟件檢查請參閱以上的第1.1節了解關(guān)于惡意軟件及我們的軟件指南的信息。2. 在你網(wǎng)站鏈接到其他網(wǎng)址前對鏈接進(jìn)行惡意軟件檢查請參閱以上的第1.2節了解我們的關(guān)于鏈向惡意軟件的信息。3. 只使用有信譽(yù)、有良心的廣告商，并定期監測以確保他們的廣告是干凈的確保你的廣告網(wǎng)絡(luò )是有信譽(yù)的并積極為廣告主屏蔽惡意軟件。如果他們不這么做，趕緊換人，并告訴他們你為什么要換。請記住，一個(gè)在你網(wǎng)上的廣告，即使是由第三方提供的，仍然是你的網(wǎng)頁(yè)的一部分。你應該只接受來(lái)自為保護客戶(hù)不受惡意軟件侵害而不懈努力的廣告商。你可以使用StopBadware的報告作為惡意軟件廣告商的一種來(lái)源。StopBadware正致力于把最壞的廣告網(wǎng)絡(luò )通過(guò)報告的形式來(lái)曝光，報告我們所看到的被這些廣告提供者害苦了的網(wǎng)站。4. 監控你網(wǎng)站的用戶(hù)區確保你網(wǎng)站的論壇，博客，和其他用戶(hù)區的使用條款中明確禁止鏈接至惡意軟件的帖子。您也可以選擇不讓用戶(hù)直接連接到任何形式的可執行文件或插入javascript到論壇帖子或其他用戶(hù)生成內容區。你要嚴密監督你網(wǎng)站的這些區域以防止可疑的鏈接或可執行文件。請參閱以上的第1.2節了解我們的關(guān)于鏈向惡意軟件的信息。5. 堵住安全漏洞以防黑客攻擊以下是使你的網(wǎng)站更安全的一些基本步驟：
|
