Как я могу определить, используется ли поврежденный файл изображения для скимминга кредитной карты?

Я добавляю еще один ответ только потому, что мой другой на самом деле не ответил на вопрос - и это, конечно, больше не нужно!

Как я могу проверить, содержит ли изображение информацию о CC

В конечном счете, вы не можете. Иногда есть индикаторы, которые выделяют его,

Например.

• Большой размер файла
• Наличие обычного текста в файле
• Неправильные заголовки изображений

Но это может быть особенно трудно переварить содержимое двоичных файлов для определения содержимого, если содержимое не является простым текстом.

Наиболее распространенный эксплойт, который я видел, не включает запись обычных текстовых данных в файл с расширением .jpg|png|gif|etc, обычно они включают в себя какое-то кодирование/шифрование для запутывания данных (например, base64 или mcrypt и т. Д.). Это означает, что простой grep не будет работать.

Вы могли бы (и это ни в коем случае не является исчерпывающим)...

Поиск файлов аномально большого размера

find \
/path/to/public_html/skin \
/path/to/public_html/media \
-type f -size +20M 2>/dev/null

Найти файлы, соответствующие регулярному выражению CC

grep -lE '([0-9]+\-){3}[0-9]{4}|[0-9]{16}' \
/path/to/public_html/skin \
/path/to/public_html/media 2>/dev/null

Проверьте, являются ли файлы изображений действительными

find \
/path/to/public_html/skin \
/path/to/public_html/media -type f \
-regextype posix-egrep -regex '.*\.(jpg|gif|png|jpeg)' |\
xargs identify 1>/dev/null

Или

find \
/path/to/public_html/skin \
 -name '*' -exec file {} \; | grep -v -o -P '^.+: \w+ image'

Как я могу проверить PHP-файлы в моей установке, чтобы узнать, были ли они изменены

Самый простой способ сравнить ваши установочные файлы - это сравнить ядро с чистой копией. Это не будет учитывать файлы вашей темы, но позволит проверить несколько тысяч файлов в вашей установке.

Процесс действительно легко,

Например. Для версии Magento 1.7.0.2

wget sys.sonassi.com/mage-install.sh -O mage-install.sh
bash mage-install.sh -d -r 1.7.0.2
tar xvfz latest-magento.tar.gz
diff -w --brief -r magento-ce-*/app/code/core app/code/core
diff -w --brief -r magento-ce-*/lib lib

Имейте в виду, что более старые версии Magento (досадно) не исправлены, поэтому изменение ядра приведет к отображению изменений. Чтобы избежать этого, примените исправления к только что загруженному чистому источнику, а затем снова измените его.

Отличный пост, но, к сожалению, не все вещи созданы равными.

Права доступа к файлам

Когда общий хостинг стал популярным, считалось более важным, чтобы людям не разрешалось просматривать контент других пользователей на том же сервере. До появления тюрем FreeBSD это означало:

• ограниченные оболочки
• /дом как корень: корень 700
• Учетные записи пользователей с umask 007.
• Программное обеспечение веб-сервера, изменяющее UID
• И идентификатор, на который он изменился, является владелец этой учетной записи.

Это позволило владельцу учетной записи изменять (тогдашние) HTML-файлы, в то время как в то же время как процесс веб-сервера, так и владелец учетной записи не имели доступа к другим на той же машине.

Это не сильно изменилось, и программные пакеты, адаптированные к совместному хостингу (cPanel, DirectAdmin, Plex), все используют эти принципы. Это означает, что основная точка входа (веб-сервер и/или интерпретатор сценариев) может записывать данные в любой файл учетной записи, что делает права доступа к файлам бесполезными.

Нет CC, чтобы украсть, если у вас его нет

Сообщите своему поставщику платежей CC, действительно ли данные CC отправляются на ваш сервер, и если да, то отправляются ли они незашифрованными незашифрованными. JavaScript в наши дни довольно мощный, и есть поставщики платежных услуг, которые используют механизм JavScript вашего клиента для шифрования конфиденциальной информации перед передачей на сервер. В то время как этот сборщик информации может получить сеансовый ключ, а также зашифрованные данные (и, следовательно, возможность их расшифровки), менее интересны для собирателя, поскольку собранные данные больше, а ИИ бота намного сложнее.

Обнаружение изменений

Более 15 лет unix, и это все еще вызывает ностальгическую улыбку на моем лице, когда я вижу реинкарнации Tripwire. Гит, это тоже хороший инструмент для этого. По сравнению с известной хорошей версией, несколько меньше, так как она не учитывает дополнения и снова дает хорошую инструмент здесь, так как локальные модификации сайта происходят чаще, чем первоначальные установки.

Загрузчик

Переместить загрузчик за пределы корневого каталога документа так же просто, как установить некоторую форму аутентификации HTTP. Затем кладите его обратно только тогда, когда вы его используете. Если это непрактично, то я предпочитаю блокировать его на основе удаленного адреса, а не другого уровня пользователя/пароля, особенно тех, которые отправляют пароли в виде обычного текста.

WAF и альтернативы

А Брандмауэр веб-приложений может предотвратить множество проблем уже на стадии сканирования атаки. К сожалению, это дорогие черные ящики, но существуют некоторые альтернативы:

1. Тот, который был компаньоном tripwire в те дни - Фырканье - находится прямо там с коммерческими WAF. У него крутая кривая обучения, но он может довольно хорошо обнаруживать аномалии и известные плохие паттеры.
2. Naxsi для nginx и mod_security для Apache отклоняют запросы, содержащие атаку know подписи. Naxsi немного более универсален и запрещает обслуживание "вещей, которым здесь не место", таких как скрытый SQL - в отличие от части известного фрагмента SQL.
3. Fail2ban/sshguard находятся между двумя предыдущими. Они могут обрабатывать различные типы журналов и выполнять настраиваемые действия. Недостатком является то, что они работают постфактум. Строки журнала обычно попадают в журнал после завершения действия, и, кроме того, инструменты имеют порог для борьбы с ложными срабатываниями. Это может быть достаточно, чтобы злоумышленник получил доступ, если он получил точную информацию на более ранних этапах.

Я думаю, что мы рассмотрели много вопросов, но позвольте мне закончить моим петпивом:

ПРЕКРАТИТЕ ИСПОЛЬЗОВАТЬ FTP

Там. Я сказал это. И вот, пожалуйста: https://wiki .filezilla-project.org/Howto

Нет ничего определенного в этом новом взломе, Бен Маркс вчера опубликовал, что они расследуют проблему, и есть эта статья тоже.

Лучший подход, который вы можете попробовать, - это войти в систему через SSH и выполнить поиск во всех имеющихся у вас файлах для определенной строки, что-то вроде

find . | xargs grep 'db-tab-bottom-right-bg_bg.gif' -sl

Из корневой папки Magento, и если вы получите совпадение, вручную проверьте файл, чтобы увидеть, что происходит. То же самое с другими строками, такими как, например, "КОНЕЧНЫЙ ОТКРЫТЫЙ КЛЮЧ".