![]()
>[оверквотинг удален]
>>2. Проверьте права, от кого запускается proftpd, clamd.
>>
>>P.S.
>>У меня подобная ошибка вылетает когда на папку (в вашем случае) /opt/ftp/
>>нет прав на запись.
>
>1 Работает
>2 proftpd работает от никого clamd от clamav
>
>Не у одного ни у другого нет прав туда писать ..
А у их групп есть права?
вот моё, работает:
]# vi /etc/group
vscan:*:110:ftp
]# ps aux | grep ftp
nobody 1078 0,0 0,6 5020 660 ?? Ss 9:24 0:00,03 proftpd: (accepting connections) (proftpd)
root 1120 0,0 0,2 404 256 p1 D+ 9:34 0:00,00 grep ftp
[root@bsd
]# ps aux | grep clam
vscan 641 0,0 48,2 78984 53040 ?? Is 8:37 0:10,04 /usr/local/sbin/clamd
vscan 646 0,0 0,0 3432 0 ?? IWs - 0:00,00 /usr/local/bin/freshclam --daemon -p /var/run/clamav/freshclam.pid
root 1122 0,0 0,9 1604 936 p1 S+ 9:34 0:00,01 grep clam
]# ls -la /var/ftp/
total 10
dr-xr-xr-x 5 root operator 512 10 дек 15:31 .
drwxr-xr-x 27 root wheel 512 12 дек 14:37 ..
dr-xr-xr-x 2 root operator 512 22 авг 1999 etc
drwxrwxrwt 4 root operator 512 12 дек 09:28 incoming
drwxr-xr-x 2 root operator 512 22 авг 1999 pub
]# ls -la /var/run/clamav/
total 8
drwxr-xr-x 2 vscan vscan 512 12 дек 08:38 .
drwxr-xr-x 7 root wheel 1024 12 дек 09:24 ..
srwxrwxrwx 1 vscan vscan 0 12 дек 08:38 clamd
-rw-rw---- 1 vscan vscan 3 12 дек 08:38 clamd.pid
-rw-rw---- 1 vscan vscan 3 12 дек 08:37 freshclam.pid
vi /usr/local/etc/proftpd.conf
ClamAV on
ClamWarn on
ClamLocalSocket /var/run/clamav/clamd
]# id ftp
uid=14(ftp) gid=5(operator) groups=5(operator), 110(vscan)
]# id clamav
uid=106(clamav) gid=106(clamav) groups=106(clamav), 6(mail)
Безопасная работа по FTP
Вирусы и другой вредоносный код могут попасть на сайт различными способами. Один из них – через FTP соединение, которым пользуются владельцы сайтов для загрузки, удаления и редактирования файлов на хостинге.
Взлом и заражение по FTP происходит всегда примерно по одной и той же схеме: выполняется подбор, перехват или кража логина/пароля от FTP, после чего в ручном или автоматическом режиме на хостинг загружается вредоносный код. При взломе по FTP могут изменяться существующие файлы (например, index.php или .htaccess) и загружаться новые (например, WSO шелл).
Один из вероятных вариантов перехвата пароля - наличие троянских программ на компьютере владельца сайта, которые отслеживают подключение по FTP, запоминают переданные данные от FTP сессии и сообщают их автору "вредоноса". Другой вариант перехвата FTP доступов - использование хакерами специального программного обеспечения: снифферов сетевого трафика. Также достаточно популярный и легкий способ получения пароля от FTP - банальное чтение "трояном" настроек соединения из FTP клиента или браузера, куда их сохранил сам пользователь. Обычно, логин/пароль не шифруются и хранятся в FTP клиенте практически в открытом виде, поэтому вирус или троян, работающие на зараженном компьютере, с легкостью могут их извлечь из реестра или конфигурационных файлов и передать злоумышленнику по сети.
Если на вашем сайте появился вирус, мобильный редирект или другой вредоносный код, вы можете проверить, был ли он загружен по FTP или попал другими путями. Для проверки гипотезы заражения через FTP необходимо запросить логи (журнал) FTP подключений в тех поддержки хостинга. Лог FTP выглядит примерно так:
![]()
Анализировать данный лог очень просто, достаточно смотреть только на важные для анализа поля. Возьмем первую строку из прямоугольника:
- Fri Feb 28 22:49:41 2014 – дата операции
- 185.26.123.230 – IP адрес клиента (пользователя), который выполнял операцию
- 3499 – размер файла
- /home/…/htdocs/www/.htaccess – имя файла, с которым была выполнена операция
- i (“incoming”) – файл загружен на хостинг (o – файл выгружен с хостинга)
Допустим, произошло заражение файла .htaccess, в который внедрился мобильный редирект. По имени файла находим все строки, в которых выполнялись чтение (o) и запись (i) файла .htaccess, проверяем по дате и IP адресу, кто вносил в них изменения, и делаем соответствующий вывод.
Иногда по логу видно, что файл сначала скачивается, затем загружается, но уже с вредоносным кодом (проверить, что файл увеличился, можно, сравнив размер скаченного и загруженного файлов). По FTP чаще всего вредоносный код добавляется в индексные файлы index.php, index.html и файлы .htaccess.
Учитывая открытость FTP трафика и легкость перехвата данных FTP аккаунта, не рекомендуется использовать данный протокол при работе с сайтом. Вместо него желательно работать с файлами через безопасное SFTP подключение (“Secure FTP”), которое использует шифрованное соединение и является надстройкой SSH-2, разработанной для более удобной работы с файлами. Поэтому для работы по SFTP на хостинге должен быть доступен SSH (на всех современных хостингах он есть). В качестве SFTP клиента можно использовать бесплатный и функциональный клиент WinSCP5.
Если работать по SFTP по каким-то причинам не получается, ниже приводим технику безопасности по работе с FTP протоколом, следуя которой вы исключите возможность взлома и заражения сайта по FTP.
- Проверяйте рабочие компьютеры, с которых выполняется подключение по FTP, коммерческими антивирусами с обновляемой базой. Это позволит существенно снизить вероятность перехвата логинов/паролей троянскими программами.
- Не пользуйтесь FTP подключением в публичных сетях (в частности, при подключении к открытой WIFI точке). Люди с “цептером” уже ждут вас.
- Не сохраняйте пароль в FTP клиенте.
- Старайтесь менять пароль после работы по FTP или, по крайней мере, не реже раза в месяц.
- Отключите FTP на хостинге через панель управления, если вы с ним не работаете в течение долгого времени.
- Соблюдайте политику безопасности при работе с FTP аккаунтами: для нового человека создавайте отдельный FTP аккаунт, а по окончании работ удаляйте аккаунт. Это позволит отслеживать изменения, выполняемые каждым FTP пользователем.
- Ограничьте операции по FTP через файл .ftpaccess. Уточните в тех поддержке хостинга, в каком каталоге необходимо создать данный файл и добавьте в него
Allow from 1.2.3.4
Где 1.2.3.4 – это ваш (разрешенный) IP адрес.
Если у вас динамический, то его можно будет поменять через файловый менеджер панели управления.
Если у вас остались вопросы по безопасной работе с FTP, за консультацией можете обратиться к нашим специалистам.
Дополнительный материал для интересующихся:
Дата последнего редактирования страницы не совпадает с датой, когда вы действительно что-либо изменяли на этой странице
При просмотре исходного кода страницы вы обнаруживаете неизвестный вам код (чаще всего это javascript-код с использованием функции eval и/или unescape, или загрузка информации через теги [iframe][/iframe], или загрузка картинки, которая на самом деле не является картинкой)
Внутри изначально пустых папок появились файлы (чаще всего index.php и/или index.html), которые вы не создавали.
В логах доступа к ФТП-аккаунту значатся даты, когда вы точно не заходили на сайт или ip-адреса, из которых вы точно не могли зайти на ФТП (например вы находитесь в России, а в логах доступа указано, что на ФТП заходили из Бразилии)
Как же нам удалить вирус с сайта?
Удалить вирус из одного файла совсем недостаточно для удаления вируса со всего сайта. Нам необходимо найти все зараженные вирусом страницы сайта и на всех этих страницах удалить вредоносный код. Если хотя бы на одной странице нашего сайта останется вирус, он со временем распространится по всему сайту. Итак, чтобы удалить вирус с сайта необходимо следовать такой последовательности:
Обновить свой антивирус и проверить свой компьютер на наличие вирусов и троянов. По возможности, проверьте свой компьютер несколькими антивирусами. Если такая проверка не будет проведена, следующие пункты выполнять бессмысленно.
Если Ваш компьютер не защищен хорошей антивирусной программой, позаботьтесь о ее покупке. Ваше компьютерная безопасность того стоит. Например, купите Kaspersky Internet Security 2011 (лицензия на 2 ПК, 1 год)
Сменить пароль для доступа к ФТП-аккаунту и не сохранять его в ФТП-клиенте. В последствии, никогда не храните пароли к сайту где-либо на компьютере. Уверены, ваш сайт стоит того, чтобы хранить пароли к нему в вашей собственной памяти или в крайнем случае на бумажке. Если пароль к ФТП не будет изменен или вы его сохраните где-либо на компьютере, следующие пункты выполнять бессмысленно.
Если у вас статический ip-адрес, вы можете запретить доступ к вашему сайт с любых других адресов, разрешив доступ только с вашего ip-адреса. Если вы не знаете что такое статический ip-адрес, этот пункт следует пропустить.
Никогда не храните пароль к ФТП у себя на компьютере. Лучше его просто запомнить.
Регулярно обновляйте антивирус у себя на компьютере.
Регулярно делайте резервные копии вашего сайта. Уделите несколько мегабайт дискового пространства хранению резервных копий сайта и эти мегабайты сэкономят вам ваши деньги, нервы и доверие ваших посетителей.
Если есть возможность, ограничьте доступ к редактированию сайта для других ip-адресов.
Не посещайте сайты с порно и сайты сомнительного содержания. На таких сайтах быстрее всего заразится вирусом.
Если ваш сайт работает под управлением бесплатной CMS, не устанавливайте дополнения к ней сомнительного содержания или в которых вы не уверены на все 100%. Использование нашей CMS существенно снижает риск заражения сайта вирусом и значительно упрощает проверку сайта на вирусы.
Проверка сайта на вирусы не понадобится, если обратитесь к профессионалам.
Особенности работы с нашей CMS позволяют снизить риск заражения сайта вирусом практически до нуля. Удаление вируса из специально зараженного сайта на нашей CMS происходит в течении нескольких часов. Если ваш сайт находится на нашем хостинге, система резервного бекапирования позволяет восстанавливать ваш сайт из резервных копий. Это особенно критично, если сайт находится под управлением не нашей CMS и проверять каждый из нескольких тысяч файлов затратно как по времени, так и финансово. И, безусловно, всегда приятно, когда после создания сайта разработчик не забывает о клиенте и всегда может помочь решить ваши проблемы с сайтом.
Проверить файлы на вирусы онлайн:
Вы можете доверить удаление вирусов специалистам нашей компании. Стоимость услуги - от 3 000 руб. Для этого вам следует заполнить форму ниже и мы свяжемся с Вами в ближайшее время.
Рейтинги и обзоры CMS
Проверка сайта на вирусы: когда проводить и какими инструментами сканирования лучше воспользоваться
![]()
Проблемы, связанные с заражением ресурса вирусами или вредоносным кодом становятся все более актуальными. Многие вебмастера отмечают всплеск активности кибер-преступности, что требует от владельца площадки бдительности и внимательности. Целью может стать крупный коммерческий портал или официальный сайт компании, но даже личные блоги и одностраничники представляют ценность для злоумышленников, а навыков и идей использования ресурса у взломщиков предостаточно.
Какие цели преследуют кибер-преступники
Если в фильмах хакеров чаще изображают как борцов за свободу, то в реальности ситуация противоположная: главная задача взломщика максимально долго удерживать площадку под контролем. Статистика исследований компании Securi, основанная на ответах вебмастеров, демонстрирует, что треть владельцев инфицированных сайтов даже не догадывается об этом. Около 60% вебмастеров не смогли самостоятельно устранить проблему, а в половине случаев продвижение площадки не было остановлено, что подвергает риску пользователей. Отчет портала HackerOne указывает, что сферой интереса 70% хакеров-участников являются веб-сайты.
Мотивация хакеров по данным HackerOne:
- заработок – 13,1%;
- взлом как вызов – 14%;
- изучение действующих технологий – 14,7%;
- развлечение – 14%;
- продвижение по карьере – 12,2%.
Получение прибыли среди зарегистрированных участников находится не на первом месте, но владельцы площадок часто сталкиваются именно с такими взломщиками. Еще один примечательный факт, о котором говорится в отчете Hackerone: только 30,6% опрошенных предпочитают работать в одиночку. Командный подход расширяет возможности хакеров.
Каким образом взлом приносит деньги:
- Доступ к файловой системе ресурса с последующей заменой файлов на собственные (вирусы, редиректы, реклама и так далее).
- Устранение конкурентов. Самостоятельно или на заказ.
- Использование почтового сервера для спама и распространения вредоносного ПО.
- Методы черного SEO. Продвижение собственной площадки за счет размещения на взломанном сайте ссылок или контента. Подключение инфицированного проекта к сети дорвеев.
- Заражение ПК и мобильных устройств посетителей.
- Инфицирование других площадок на одном сервере.
- Кража личной информации пользователей: логины/пароли, номера карт, доступ к электронным кошелькам и тому подобное.
- Выполнение DDoS-атак и других незаконных действий.
Существует множество альтернативных способов использования инфицированного ресурса, которые зависят от целей и навыков взломщика.
Инфицирование сайтов на CMS
Взлом конкретного объекта редко является приоритетной задачей. Чаще всего кибер-преступники уделяют внимание поиску уязвимостей конкретных платформ, что позволяет выполнить массовое инфицирование. Для этих целей выбирают популярные CMS, предоставляемые на платной и бесплатной основе.
В результате проверки поисковой выдачи Яндекса и Google, аналитики Securi составили статистику по инфицированным площадкам:
- WordPress – 90% от общего количества зараженных ресурсов. Годом ранее этот показатель был на 7% ниже.
- Magneto – 4,6%, что на 1,9% лучше, чем в предыдущем году.
- Joomla – 4,3% вместо 13,1%.
- Drupal – 3,7%, что на 2,1% хуже прошлогоднего показателя.
- ModX – 0,9%.
В отчете Яндекса за 2011 год первое место принадлежало платформе DLE с показателем 50% от общего числа всех зараженных сайтов, а WordPress и Joomla тогда разделяли второе место. Сейчас CMS DLE имеет незначительный процент инфицированных сайтов, что говорит о проделанной работе над устранением уязвимостей.
Не существует системы, которую невозможно взломать. Кибер-преступники постоянно разрабатывают новые методы и инструменты. Единственным выходом для разработчиков CMS является выпуск обновлений с исправлениями выявленных проблем безопасности. В случае пристального внимания со стороны кибер-преступников разработчики платформы не успевают оперативно реагировать на новые угрозы.
Использование самописного кода тоже не выход, ведь для обеспечения должного уровня безопасности требуются высококлассные специалисты, иначе дыры в безопасности могут сделать проект легкой мишенью для злоумышленников.
Из сказанного можно сделать вывод, что единственными возможностями защиты от внедрения вирусов и вредоносного кода – регулярные проверки и выполнение профилактических мероприятий.
![]()
Как происходит заражение: распространенные схемы
Чаще всего причиной заражения являются действия владельца ресурса или пользователей, имеющих доступ к нему. Несоблюдение простых правил безопасности упрощает заражение площадки.
Вирусы или вредоносный код попадает на сайт несколькими способами:
- Самый распространенный – перенос файлов с зараженного ПК на сервер.
- Уязвимость плагинов, модулей, CMS, хостинга, включая установку уже зараженных элементов на сайт.
- Взлом, путем подбора комбинации доступа, использования уязвимостей или кражи вводимых данных при заполнении форм.
- Кража сохраненных паролей в FTP-клиенте. Осуществляется через вредоносное ПО для компьютера. Комбинация логин/пароль хранится в базе FTP-клиента в незашифрованном виде.
- Перехват данных при использовании общественных сетей для доступа в Интернет, а также при подключении по протоколу HTTP, вместо HTTPS. Актуальность проблемы возрастает вместе с ростом бесплатных точек Wi-Fi, пользование которыми может представлять угрозу конфиденциальности.
Не стоит забывать о самом простом способе получения доступа – подсматривание вводимой информации посторонними.
Перенос вредоносных объектов на устройства посетителей ресурса осуществляется через кэш браузера, в который загружаются большие файлы, чтобы ускорить загрузку страниц. Таким образом, вирусы сайта могут инфицировать ПК или мобильные устройства аудитории.
Когда нужно проводить проверку ресурса на вирусы
Активность вредоносного объекта не всегда совпадает с моментом его появления в файлах. Это необходимо злоумышленникам для предотвращения отката ресурса до чистой версии. Инфицированная площадка может долгое время работать в штатном режиме, что усложняет лечение и способствует распространению вируса. Все это говорит о важности регулярных проверок. Рекомендуемый интервал зависит от размеров ресурса и его посещаемости: от еженедельного до ежемесячного сканирования. Вебмастера советуют проверять сайт на вирусы перед созданием резервной копии.
В каких ситуациях нужна внеплановая проверка:
Наличие одного или более признаков заражения означает необходимость в скорейшем выполнении лечения.
Проверка сайта на вирусы: доступные средства и возможности
Бороться с вирусами можно тремя способами:
- при помощи онлайн-сервисов и скриптов;
- оффлайн проверки;
- самостоятельного поиска и лечения файлов.
В идеале лучше использовать все возможные подходы, но их эффективность зависит от типа угрозы и масштабов распространения.
Для этого нужно обладать знаниями в области HTML, JavaScript и других используемых ресурсом языков программирования. Подход позволяет найти то, что не способны распознать антивирусные утилиты и скрипты. Маскировка вредоносных объектов – одна из причин возникновения проблем при их удалении. В подтверждение этому можно сказать, что поисковые системы способны распознать чуть более 10% возможных угроз. У специализированных антивирусных сканеров эффективность выше, но они далеки от идеала.
На какие элементы нужно обратить внимание в первую очередь:
- фреймы и их содержимое;
- контент сайта через отображение кода активной страницы;
- используемые на страницах скрипты.
Рекомендуется проверить работу баз данных и настройки FTP-подключений. Если собственных знаний для выполнения процедур недостаточно, то стоит привлечь специалистов, особенно в случаях, когда самостоятельно устранить проблемы не удается.
Для этих целей необходимо скачать файлы и папки сайта на ПК. Ускорить процесс скачивания поможет FTP-клиент. После этого содержимое папки нужно проверить штатным антивирусом на компьютере, а также воспользоваться антивирусными утилитами (сканерами), которые не требуют установки и деинсталляции действующей антивирусной системы.
Популярные антивирусные сканеры:
- Dr.Web CureIt.
- Malwarebytes Anti-Malware.
- NOD32 On-Demand Scanner.
- Kaspersky Virus Removal Tool.
- Norton.
Помимо содержимого сайта, рекомендуется выполнить сканирование компьютера.
Недостаток этого метода — в его узкой специфике. Обнаружить активные вирусы и вредоносные объекты с его помощью реально, но выполнить качественное лечение – нет. После устранения угрозы придется заняться поиском источника, выявить который с помощью оффлайн-проверки не всегда удается.
Предлагаемые антивирусные сканеры выполняют следующие виды проверок:
- сканирование контента;
- анализ кода;
- проверка функциональных объектов.
Список полезных сервисов и их описание:
При использовании CMS есть возможность подключить дополнительные модули защиты, чтобы обезопасить проект от взлома и проникновения вирусов.
Профилактика заражения сайта
Лечение инфицированной площадки занимает много сил, времени, а если справиться своими силами не удается, то и средств. Проще и надежнее выполнять профилактические действия – это избавит многих неприятностей.
Десять правил защиты сайт от вирусов и взлома:
- Регулярно обновлять CMS, модули и плагины.
- Использовать на ПК антивирус с фаерволом.
- Не очищать логи ошибок – это может пригодиться в поиске точек уязвимости.
- Для подключения к файловой системе нужно использовать защищенные протоколы: SSH, SFTP.
- Не сохранять пароли доступа в браузере и FTP-клиенте.
- Регулярно проверять ПК и сайт антивирусами. Хостинг-провайдеры часто предлагают собственный антивирус, который пригодится для этих целей.
- Не устанавливать взломанные платные модули и плагины из неизвестных источников.
- Не использовать простые комбинации логина/пароля доступа, ограничить права доступа к содержимому каталога проекта.
- Пользоваться резервным копированием.
- При наличии возможности – отключать FTP-протокол на хостинге, когда в нем нет необходимости.
Периодически нужно выполнять сканирование файлов сайта с помощью оффлайн и онлайн-сервисов, а также проверять домен в черных списках поисковиков и антивирусных базах.
Подведем итоги
Численность зараженных площадок ежегодно растет, обнаруживаются новые уязвимости и средства обхода защиты.
Существует большой выбор средств поиска и лечения вирусов, но они не являются универсальными, поэтому для сканирования нужно использовать различные подходы и инструменты. Чтобы предотвратить заражение ресурса и взлом аккаунта администратора, необходимо придерживаться простых правил безопасности, уделяя больше внимания своевременным обновлениям, защите данных и конфиденциальности.
Читайте также:
 Пожалуйста, не занимайтесь самолечением!При симпотмах заболевания - обратитесь к врачу.
| 
