Situs yang sudah direbut biasanya tidak dirusak tampilannya. Perusakan tampilan itu jarang karena justru mengakhiri akses mereka; yang lazim adalah halaman spam, pengalihan yang hanya menyala bagi pengunjung dari mesin pencari, dan surat yang dikirim dari server Anda. Bagi Anda yang sudah masuk dan mengetik alamatnya langsung, semuanya tampak baik-baik saja.
Tanda-tandanya
- Hasil pencarian atas domain Anda yang bukan tulisan Anda.
- Surat dari server Anda yang memantul balik dalam jumlah yang tak bisa Anda jelaskan.
- Lonjakan prosesor atau lalu lintas keluar tanpa lonjakan pengunjung.
- Pengunjung yang melaporkan pengalihan yang tak bisa Anda ulang.
- Penyedia hosting Anda atau sebuah peramban yang memperingatkan tentang situs itu.
Empat perintah
# 1. files changed in the last week, ignoring the ones that should change
find /var/www/site -type f -mtime -7 -not -path '*/storage/*' -not -path '*/cache/*' | head -50
# 2. PHP where PHP has no business being
find /var/www/site/uploads /var/www/site/public/img -name '*.php*' 2>/dev/null
# 3. the shapes an injected shell takes
grep -rEl 'eval\(|base64_decode\(|gzinflate\(|assert\(\$' /var/www/site --include='*.php' | head
# 4. logins that succeeded
sudo grep "Accepted" /var/log/auth.log | tail -20Bandingkan dengan sesuatu yang tepercaya
Kalau kodenya ada di git, jawaban tercepat sedunia adalah git status di servernya: apa pun yang berubah atau tak terlacak dan bukan Anda yang menaruhnya, itulah jawaban Anda dalam satu baris. Untuk sistem pengelola konten, unduh ulang versi yang sama lalu bandingkan berkas intinya dengan itu.
Basis data pun ikut dihitung
Isi yang disusupkan sering bersemayam di basis data alih-alih di berkas, dan itulah sebabnya pemindaian berkas yang bersih membuktikan lebih sedikit daripada yang orang kira — lihat Perangkat perusak di basis data, bukan di berkas.
