มีวิธีใดบ้างที่ฉันจะพบสคริปต์ php ที่ส่งอีเมล
ฉันมี apache + php (ไม่มี mod_suphp ทั้ง suexec) ในการติดตั้ง "มาตรฐาน" และฉันต้องการค้นหาแม่มด php สคริปต์กำลังส่งอีเมลเมื่อฉันตรวจสอบบันทึกฉันเห็น uid ของผู้ใช้ที่ส่งอีเมล (ใน apache เคสของฉัน) แต่ฉันต้องการค้นหาสคริปต์ที่มีต้นกำเนิดมาจากอีเมล
เป็นไปได้หรือไม่ฉันต้องติดตั้ง suexec หรือ mod_suphp เพื่อติดตาม trac ของมัน?
ขอบคุณสำหรับความช่วยเหลือ
คำตอบ:
php 5.3 ถูก slotted เพื่อให้ได้การติดตามเมลที่ดีขึ้น แต่ฉันไม่แน่ใจว่าเกิดอะไรขึ้น (แก้ไข: ใช่ php 5.3 มีการบันทึกในตัวแล้ว - php.ini มีตัวแปร config mail.log ซึ่งจะบันทึกการใช้จดหมายจากรหัส php)
เราแก้ไขปัญหาด้วยการทำให้ sendmail เป็นเชลล์สคริปต์ของ wrapper
ใน php.ini ตั้งค่าตัวส่งจดหมายใหม่ เช่น:
sendmail_path = /usr/local/bin/sendmail-php -t -i
สคริปต์ sendmail-php เพียงใช้ตัวบันทึกเพื่อรับข้อมูลจากนั้นเรียกใช้ sendmail ของระบบ:
#!/bin/bash
logger -p mail.info -t sendmail-php "site=${HTTP_HOST}, client=${REMOTE_ADDR}, script=${SCRIPT_NAME}, filename=${SCRIPT_FILENAME}, docroot=${DOCUMENT_ROOT}, pwd=${PWD}, uid=${UID}, user=$(whoami)"
/usr/sbin/sendmail -t -i $*
สิ่งนี้จะเข้าสู่สิ่งที่ mail.info ของคุณตั้งไว้ในไฟล์ syslog.conf
ข้อเสนอแนะอีกประการหนึ่งคือการติดตั้งส่วนขยาย php suhosin เพื่อกระชับช่องโหว่ใน PHP ยกเว้นว่าคุณกำลังใช้ Debian หรือ Ubuntu ซึ่งนี่เป็นค่าเริ่มต้นอยู่แล้ว
วิธีการแก้ปัญหานี้ต้องใช้จริง ๆ ไม่กี่ขั้นตอน วิธีการแก้ปัญหาของ labradort ด้านบนใช้งานไม่ได้เนื่องจากสคริปต์ตัวบันทึกเป็น bash script ไม่ใช่ php และสคริปต์ bash ไม่สามารถเข้าถึงตัวแปรของ php ดังนั้นบันทึกจึงว่างเปล่า โดยทั่วไปสิ่งที่คุณต้องการเข้าสู่ระบบจะต้องถูกบันทึกไว้ในตัวแปรสภาพแวดล้อมใน php ก่อนที่จะส่งอีเมลเพื่อให้คนตัดไม้สามารถเข้าถึงข้อมูล เนื่องจากคุณพยายามตรวจสอบสคริปต์ของผู้ใช้อื่นไม่จำเป็นต้องเป็นของคุณเองคุณจึงไม่สามารถควบคุมรหัส php ได้ดังนั้นคุณต้องใช้คุณสมบัติ auto_prepend_file ของ PHP เพื่อให้แน่ใจว่า php ที่ดำเนินการทั้งหมดจะเรียกใช้รหัสเริ่มต้นก่อนทุกสิ่ง ฉันเพิ่มโค้ดต่อไปนี้ผ่าน php.ini เพื่อให้แน่ใจว่าฉันมีข้อมูลที่ฉันต้องการในตัวบันทึก:
<?php
/**
* This passes all SERVER variables to environment variables,
* so they can be used by called bash scripts later
*/
foreach ( $_SERVER as $k=>$v ) putenv("$k=$v");
?>
ฉันรวบรวมการสอนเต็มรูปแบบเกี่ยวกับวิธีการทำงานนี้ได้ที่นี่: http://mcquarrie.com.au/wordpress/2012/10/tracking-down-malicious-php-spam-scripts/
มีโปรแกรมแก้ไขสำหรับ PHP ที่จะแสดงสคริปต์ที่สร้างอีเมลโดยการเพิ่มส่วนหัวของอีเมลที่ถูกส่ง ฉันยังไม่ได้ทดสอบเพราะฉันไม่กระตือรือร้นที่จะแก้ไข core PHP แต่ฉันได้ยินสิ่งดีๆ
คุณจะต้อง grep บันทึกการเข้าถึงสำหรับสิ่งที่เหมาะกับกรอบเวลาของเมื่อมีการเพิ่มข้อความในสปูล
อาจเป็นเพียงการค้นหาผ่านไฟล์ต้นฉบับเพื่อหา "mail (" substring?
เพียงเปิดใช้งานสิ่งเหล่านี้บน php.ini ของคุณ
mail.add_x_header = On
mail.log = /var/log/phpmail.log
จากนั้นสร้างไฟล์นั้นและให้สิทธิ์ในการเขียน จับตาดูมันหลังจากนั้น