Fil-qosor: Fajls mibdula taħt Linux issibhom b'find u perjodu ta' żmien, pereżempju mis-17 ta' Ottubru 2026, l-ewwel tentattiv ta' attakk osservat fuq PHP2Shell skont rapporti tal-midja. Iċċekkja mhux biss il-ħin tal-bidla tal-kontenut (mtime), imma wkoll dak tal-metadata (ctime), għax l-ewwel jista' jiġi falsifikat faċilment. Ir-riżultat isir affidabbli biss permezz tat-tqabbil ma' checksums tal-pakketti, Git jew backup.
Għaliex it-timestamps huma bidu tajjeb, imma mhux prova
Min iġib kodiċi fuq server jibdel fajls. Webshells ġodda, fajls tal-konfigurazzjoni adattati, linji miżjuda fi skripts eżistenti: dan kollu jħalli timestamps. It-tiftix ta' bidliet fil-perjodu t-tajjeb huwa għalhekk wieħed mill-aktar modi mgħaġġla għall-ewwel sejbiet.
Għal PHP2Shell jaqbel li l-perjodu jibda fis-17 ta' Ottubru 2026, il-jum tal-ewwel tentattiv ta' attakk osservat skont rapporti tal-midja. Il-patches dehru fil-21 ta' Ottubru. Min aġġorna s-server tiegħu biss wara, jfittex sal-jum tal-aġġornament proprju u lil hinn. Kif tagħraf webshells fost is-sejbiet jiddeskrivih Agħraf u neħħi webshell. Hawnhekk titratta l-metodu tat-tiftix innifsu.
It-tliet timestamps ta' fajl
Linux jaħżen għal kull fajl diversi mumenti. Għat-tiftix ta' bidliet tnejn huma deċiżivi.
| Timestamp | Tifsira | Jista' jiġi falsifikat? |
|---|---|---|
| mtime | l-aħħar bidla tal-kontenut | iva, pereżempju b'touch, minn kull min jista' jikteb il-fajl |
| ctime | l-aħħar bidla tal-kontenut jew tal-metadata bħad-drittijiet | mhux b'mezzi sempliċi |
| atime | l-aħħar aċċess tal-qari | spiss diżattivat jew mhux eżatt, ftit tajjeb għat-tiftix |
L-attakkanti jħobbu jibdlu l-mtime lura għad-data tal-fajls ġirien, biex fajl ġdid ma jaqbadx l-għajn. Il-ctime, madankollu, jinbidel magħha. Fajl b'mtime qadim u ctime frisk huwa għalhekk indikazzjoni qawwija ta' manipulazzjoni.
Oqgħod attent għaż-żoni tal-ħin fit-tqabbil. find u ls juru l-ħin lokali tas-server, ħafna fajls tal-log u servizzi, min-naħa l-oħra, jaħdmu f'UTC. Min iqiegħed ħdejn xulxin sejbiet mis-sistema tal-fajls u mil-logs għandu jikkonverti l-indikazzjonijiet kollha fl-istess żona tal-ħin, inkella l-avvenimenti jidhru li ma jaqblux. Il-patches dehru madwar il-21 ta' Ottubru fl-14:00 UTC, jiġifieri fis-16:00 ħin Ġermaniż.
Sib fajls mibdula taħt Linux b'find
Il-kmandi kollha jaqraw biss. Adatta l-mogħdija u d-data.
# Kontenut mibdul mis-17.10.2026, ordnat, b'mtime, ctime u sid
find /var/www -type f -newermt "2026-10-17" -printf '%TY-%Tm-%Td %TH:%TM %CY-%Cm-%Cd %CH:%CM %u %p\n' | sort
# Metadata mibdula mis-17.10.2026 (isib ukoll fajls b'data mmuntata lura)
find /var/www -type f -newerct "2026-10-17" -printf '%C+ %T+ %p\n' | sort
# Aħbi storbju magħruf: cache, logs, sessions
find /var/www -type f -newerct "2026-10-17" \
-not -path "*/cache/*" -not -path "*/logs/*" -not -path "*/sessions/*" -printf '%C+ %p\n' | sort
# Ħares ukoll barra mid-direttorju tal-web
find /etc /usr/local/bin /tmp /var/tmp /dev/shm -xdev -type f -newerct "2026-10-17" -printf '%C+ %p\n' 2>/dev/null | sort
F'kull riżultat qabbel iż-żewġ timestamps. Jekk il-ctime hija ferm aktar riċenti mill-mtime, u ħadd f'dan iż-żmien ma biddel drittijiet jew ikkopja fajls, il-fajl jappartjeni fuq il-lista. Oqgħod attent ukoll għas-sid: fajl tal-utent tas-server tal-web fost fajls tal-utent tad-deployment jaqbad l-għajn.
Tinsix fajls u direttorji moħbija. Ismijiet li jibdew b'punt ħafna maniġers tal-fajls u ls sempliċi ma juruhomx. L-attakkanti jużawh bi pjaċir, bħalma jużaw ismijiet li jixbhu ħafna fajls veri.
# Fajls u folders moħbija fid-direttorju tal-web, mingħajr dawk magħrufa bħal .htaccess u .git
find /var/www -name ".*" -not -name ".htaccess" -not -name ".well-known" -not -path "*/.git/*" -printf '%C+ %u %p\n' | sort
Qabbel ma' sors fdat
It-timestamps juru fejn xi ħaġa tmexxiet. Jekk kienet bidla leġittima turi biss it-tqabbil ma' sors li tafda.
- Amministratur tal-pakketti: Għal fajls tas-sistema
dpkg --verify(Debian/Ubuntu) jewrpm -Va(familja RHEL) jivverifikaw il-fajls kontra l-checksums tal-pakketti installati. Fajls tal-konfigurazzjoni jiddevjaw leġittimament, fajls tal-programmi le. - Git: Jekk l-applikazzjoni tinsab f'repository,
git -C /var/www/projekt status --porcelainjuri kull devjazzjoni mill-aħħar commit. - Checksums tas-CMS: Ħafna sistemi jistgħu jqabblu l-fajls ewlenin tagħhom mal-checksums uffiċjali, ara Qabbel il-fajls ewlenin tas-CMS mal-oriġinal.
- Backup minn qabel l-inċident: Tqabbil f'tmexxija ta' prova jelenka d-differenzi mingħajr ma jikkopja xejn.
# Elenka biss id-differenzi bejn l-istat tal-backup u s-sistema live (tmexxija ta' prova, ma jikkopja xejn)
rsync -rcn --out-format="%n" /backup/www-2026-10-15/ /var/www/
It-tqabbil tal-backup jippreżupponi li l-backup inħoloq qabel l-inċident u ma ġiex mibdul hu stess. Għaliex sigurtajiet miżmuma separatament huma deċiżivi hawnhekk tispjegah Backups skont ir-regola 3-2-1.
Aħżen ir-riżultati ta' kull tiftix bid-data f'fajl barra mis-server. Minn dawn il-listi aktar tard tinħoloq l-iskeda taż-żmien tal-inċident, u jippruvaw x'iċċekkjajt u meta.
Meta ma hemm la backup u lanqas repository
F'ħafna websajts iżgħar ma teżisti l-ebda bażi nadifa ta' tqabbil: l-ebda Git, l-ebda backup minn qabel l-inċident, plugins aġġornati bl-id għal snin. Mhux għalkollox mingħajr punt ta' riferiment xorta waħda.
Niżżel is-CMS u l-estensjonijiet eżattament fil-verżjonijiet installati mingħand il-manifattur u qabbel dawn il-fajls mas-server. Dak li jiddevja hemmhekk jew jonqos jixraqlu ħarsa. Jibqgħu l-adattamenti proprji tiegħek, l-uploads u l-konfigurazzjoni; hemmhekk jgħin it-tiftix b'timestamps, mżejjen b'ħarsa lejn is-sid u d-drittijiet. Fajls li huma l-uniċi f'direttorju b'grupp differenti, drittijiet differenti jew ctime ferm iktar riċenti mill-ġirien tagħhom jappartjenu fuq il-lista.
B'mod onest: mingħajr bażi ta' tqabbil tibqa' inċertezza residwa. F'sistemi b'data sensittiva bini mill-ġdid minn sorsi nodfa spiss huwa iktar affidabbli milli tfittex kull fajl mibdul individwali. Għall-futur it-tagħlim huwa sempliċi: repository għall-kodiċi u backups regolari miżmuma separatament.
Sorsi tipiċi ta' żbalji fit-tiftix
- Esklużjonijiet ġenerużi wisq: Folders tal-cache u tal-upload huma moħbijiet favoriti.
- Iċċekkjat biss mtime: Fajls b'data mmuntata lura jaħarbu.
- Deployment fil-perjodu: Rollout regolari jibdel mijiet ta' fajls u jgħatti sejbiet individwali. Qabbel mar-repository.
- Fajls diġà miftuħa jew ikkupjati: Kopji mingħajr ma jinżammu t-timestamps jeqirdu t-traċċi. Salva b'għodod li jżommu t-timestamps.
- Fittixt biss fid-direttorju tal-web: L-attakkanti jpoġġu għodod ukoll f'
/tmp,/dev/shmjew fid-direttorju home tal-utent tas-server tal-web. - Bidliet fid-drittijiet li għaddew: Fajl li d-drittijiet tiegħu fl-għarrieda jippermettu kitba lil kulħadd huwa sejba, anke jekk il-kontenut tiegħu ma nbidilx.
Kif is-sejbiet jinġabru f'sekwenza turi Oħloq l-iskeda taż-żmien ta' inċident.
Kif tgħin PHP SOS b'mod konkret?
- Infittxu b'mod sistematiku: Infittxu fid-direttorji tal-web u fil-mogħdijiet tas-sistema bidliet fil-perjodu rilevanti u nevalwaw mtime u ctime flimkien.
- Niċċekkjaw kontra l-oriġinali: Inqabblu ma' pakketti, repository, checksums tas-CMS u l-backups tagħkom.
- Nivvalutaw is-sejbiet: Nifirdu bidliet regolari minn manipulazzjonijiet u nsalvaw provi.
- Intnaddfu: Bit-Tneħħija tal-malware nistabbilixxu stat nadif u niddokumentawh.
Mistoqsijiet frekwenti
Kif insib il-fajls kollha mibdula minn data speċifika?
B'find u l-għażla -newermt, pereżempju find /var/www -type f -newermt "2026-10-17". Għal bidliet fil-metadata uża -newerct. Iż-żewġ kmandi jaqraw biss u ma jbiddlu xejn.
X'inhi d-differenza bejn mtime u ctime?
mtime huwa l-mument tal-aħħar bidla tal-kontenut u jista' jiġi mmuntat lura b'mezzi sempliċi. ctime huwa l-mument tal-aħħar bidla fil-kontenut jew fil-metadata u ma jistax jiġi falsifikat daqshekk faċilment. Jekk it-tnejn ivarjaw ħafna minn xulxin, jixraq li tħares mill-qrib.
Kif nneħħi fajls tal-cache mit-tiftix?
B'-not -path għal folders magħrufa tal-cache, tal-logs u tas-sessions. Tneħħix wisq b'mod ġeneruż, għax l-attakkanti jħobbu jpoġġu fajls eżattament fejn ħafna bidliet huma normali.
Liema verifika hija l-aktar affidabbli?
It-tqabbil ma' sors fdat: checksums tal-amministratur tal-pakketti, repository ta' Git jew backup minn qabel l-inċident. It-timestamps huma bidu tajjeb, imma mhux prova.