polaris64/web_exploit_detectorDer Web Exploit Detector ist eine Node.js-Anwendung, die verwendet wird, um mögliche Infektionen, bösartigen Code und verdächtige Dateien in Webhosting-Umgebungen zu erkennen.
Der Web-Exploit-Detektor ist eine Node.js-Anwendung (und ein NPM-Modul), die verwendet wird, um mögliche Infektionen, bösartigen Code und verdächtige Dateien in Webhosting-Umgebungen zu erkennen. Diese Anwendung soll auf Webservern ausgeführt werden, die eine oder mehrere Websites hosten. Beim Ausführen der Anwendung wird eine Liste von Dateien erstellt, die potenziell infiziert sind, zusammen mit einer Beschreibung der Infektion und Verweisen auf zugehörige Online-Ressourcen.
Ab Version 1.1.0 enthält die Anwendung auch Dienstprogramme zum Erstellen und Vergleichen von Snapshots einer Verzeichnisstruktur, sodass Benutzer sehen können, ob Dateien geändert, hinzugefügt oder entfernt wurden.
Die Anwendung wird hier auf GitHub gehostet, damit andere davon profitieren können, und anderen die Möglichkeit geben, eigene Erkennungsregeln beizutragen.
Der einfachste Weg, den Web-Exploit-Detektor zu installieren, ist als globales NPM-Modul: -
npm install -g web_exploit_detector
Wenn Sie Linux oder ein anderes Unix-basiertes Betriebssystem verwenden, müssen Sie diesen Befehl möglicherweise als root ausführen (z. B. sudo npm install -g web_exploit_detector).
Das Modul sollte regelmäßig aktualisiert werden, um sicherzustellen, dass alle neuesten Erkennungsregeln vorhanden sind. Die Ausführung des obigen Befehls lädt immer die neueste stabile (getestete) Version herunter. Um eine bereits installierte Version zu aktualisieren, führen Sie einfach Folgendes aus: -
npm update -g web_exploit_detector
Auch hier müssen Sie möglicherweise den Befehl sudo wie oben verwenden.
Sie können auch das Git-Repository klonen und das Skript wie folgt direkt ausführen: -
git clone https://github.com/polaris64/web_exploit_detectorcd web_exploit_detectornpm installWenn Sie den Web-Exploit-Detektor als NPM-Modul installiert haben (siehe oben), dann ist das Ausführen des Scanners so einfach wie das Ausführen des folgenden Befehls, wobei Sie den Pfad zu Ihrem Webroot (Speicherort Ihrer Website-Dateien) übergeben: -
wed-scanner --webroot=/var/www/html
Weitere Befehlszeilenoptionen sind verfügbar, führen Sie einfach wed-scanner --help aus, um eine Hilfemeldung mit deren Beschreibung zu sehen.
Wenn Sie das Skript auf diese Weise ausführen, wird eine für Menschen lesbare Ausgabe auf der Konsole erzeugt. Dies ist sehr nützlich, wenn das Skript mit cron ausgeführt wird, da die Ausgabe dann bei jeder Ausführung des Skripts als E-Mail gesendet werden kann.
Das Skript unterstützt auch das Schreiben von Ergebnissen in ein computerfreundlicheres JSON-Format zur späteren Verarbeitung. Aktivieren Sie diese Ausgabe mit dem Befehlszeilenargument --output.
Rufen Sie das Skript einfach über node auf und übergeben Sie den Pfad zu Ihrem Webroot wie folgt: -
node index.js --webroot=/var/www/html
Der Web-Exploit-Detektor wird auch mit zwei Dienstprogrammen geliefert, die helfen, Dateien zu identifizieren, die sich unerwartet geändert haben könnten. Ein erfolgreicher Angriff auf eine Website beinhaltet in der Regel das Löschen von Dateien, das Hinzufügen neuer Dateien oder das Ändern vorhandener Dateien auf irgendeine Weise.
Ein Snapshot (wie von diesen Dienstprogrammen verwendet) ist eine JSON-Datei, die alle Dateien sowie eine Beschreibung ihres Inhalts zum Zeitpunkt der Erstellung des Snapshots auflistet. Wenn beispielsweise am Montag ein Snapshot erstellt wurde und die Website dann am Dienstag angegriffen wurde, zeigt ein anschließender Vergleich zwischen diesem Snapshot und den aktuellen Website-Dateien, dass eine oder mehrere Dateien hinzugefügt, gelöscht oder geändert wurden. Das Ziel dieser Dienstprogramme ist es daher, das Erstellen dieser Snapshots und das Durchführen der Vergleiche bei Bedarf zu ermöglichen.
Der Snapshot speichert jeden Dateipfad zusammen mit einem SHA-256-Hash des Dateiinhalts. Ein Hash oder Digest ist eine kleine Zusammenfassung einer Nachricht, in diesem Fall des Dateiinhalts. Wenn sich der Dateiinhalt ändert, auch nur geringfügig, wird der Hash völlig anders. Dies bietet eine gute Möglichkeit, Änderungen am Dateiinhalt zu erkennen.
Die folgenden zwei Dienstprogramme werden ebenfalls als Teil des Web-Exploit-Detektors installiert: -
wed-generate-snapshot: Mit diesem Dienstprogramm kann ein Snapshot für alle Dateien (rekursiv) in einem durch "--webroot" angegebenen Verzeichnis erstellt werden. Der Snapshot wird in einer in der Option "--output" angegebenen Datei gespeichert.wed-compare-snapshot: Sobald ein Snapshot erstellt wurde, kann er mit dem aktuellen Inhalt desselben Verzeichnisses verglichen werden. Der zu überprüfende Snapshot wird mit der Option "--snapshot" angegeben. Das Basisverzeichnis, mit dem verglichen werden soll, ist im Snapshot gespeichert. Wenn sich das Basisverzeichnis seit der Erstellung des Snapshots geändert hat, kann die Option --webroot verwendet werden.Snapshots können so oft wie erforderlich erstellt werden, aber als Faustregel sollten sie immer dann erstellt werden, wenn sich eine Site in einem sauberen (nicht infizierten) Zustand befindet und wenn eine legitime Änderung vorgenommen wurde. Bei CMS-basierten Sites wie WordPress sollten regelmäßig Snapshots erstellt werden, da neue Uploads dazu führen, dass sich der neue Zustand vom gespeicherten Snapshot unterscheidet. Bei Sites, deren Dateien sich nie ändern sollten, kann ein einzelner Snapshot erstellt und dann auf unbestimmte Zeit verwendet werden, um sicherzustellen, dass sich tatsächlich nichts ändert.
Das Skript src/web-exploit-detector.js ist ein ES6-Modul, das die Regelsammlung als rules sowie eine Reihe von Funktionen exportiert: -
executeTests(settings): Führt den Exploit-Checker basierend auf dem übergebenen settings-Objekt aus. Zur Verwendung konsultieren Sie bitte das Skript index.js.formatResult(result): Nimmt ein einzelnes Testergebnis result aus dem von executeTests() zurückgegebenen Array und erzeugt eine Ergebniszeichenfolge, die für die Ausgabe dieses Tests bereit ist.getFileList(path): Gibt ein Array von Dateien aus dem Basisverzeichnis path unter Verwendung von readDirRecursive() zurück.processRulesOnFile(file, rules): Verarbeitet alle Regeln aus dem Array rules auf einer einzelnen Datei file (String-Pfad).readDirRecursive(path): Rekursive Funktion, die ein Promise zurückgibt, das mit einem Array aller Dateien in path und Unterverzeichnissen aufgelöst wird.Das Skript src/cli.js ist eine einfache Befehlszeilenschnittstelle (CLI) zu diesem Modul, die vom Skript wed-scanner verwendet wird. Das Lesen dieses Skripts zeigt eine Möglichkeit, wie dieses Modul verwendet werden kann.
Das Projekt verwendet Babel, um die ES6-Module in "src" in einfache JavaScript-Module in "lib" zu kompilieren. Wenn Sie eine ältere Version von Node.js ausführen, können Module stattdessen aus dem "lib"-Verzeichnis mit require() geladen werden.