PHP मैलवेयर खोजक

 _______  __   __  _______
|  ___  ||  |_|  ||       |
| |   | ||       ||    ___|
| |___| ||       ||   |___   Webshell finder,
|    ___||       ||    ___|   kiddies hunter,
|   |    | ||_|| ||   |		website cleaner.
|___|    |_|   |_||___|

संभावित रूप से दुर्भावनापूर्ण PHP फ़ाइलों का पता लगाएँ।

यह क्या पता लगाता है?

PHP-malware-finder अस्पष्ट/संदिग्ध कोड के साथ-साथ उन फ़ाइलों का पता लगाने की पूरी कोशिश करता है जो मैलवेयर/वेबशेल में अक्सर उपयोग किए जाने वाले PHP फ़ंक्शन का उपयोग करती हैं।

एन्कोडर/अस्पष्टकर्ता/वेबशेल की निम्नलिखित सूची का भी पता लगाया जाता है:

• Best PHP Obfuscator
• Carbylamine
• Cipher Design
• Cyklodev
• Joes Web Tools Obfuscator
• P.A.S
• PHP Jiami
• Php Obfuscator Encode
• SpinObf
• Weevely3
• atomiku
• cobra obfuscator
• phpencode
• tennc
• web-malware-collection
• webtoolsvn
• novahot
• nano

बेशक, PMF को बायपास करना तुच्छ है, लेकिन इसका लक्ष्य बच्चों और बेवकूफों को पकड़ना है, न कि काम करने वाले दिमाग वाले लोगों को। यदि आप PMF के लिए एक बेवकूफी भरा अनुकूलित बायपास रिपोर्ट करते हैं, तो आप संभवतः एक (या दोनों) श्रेणी में आते हैं, और पिछले कथन को फिर से पढ़ना चाहिए।

यह कैसे काम करता है?

पता लगाना फाइलसिस्टम को क्रॉल करके और फ़ाइलों को YARA नियमों के सेट के विरुद्ध परीक्षण करके किया जाता है। हाँ, यह उतना ही सरल है!

हैश-आधारित दृष्टिकोण का उपयोग करने के बजाय, PMF जितना संभव हो सके शब्दार्थ पैटर्न का उपयोग करने की कोशिश करता है, ताकि "एक $_GET वेरिएबल को दो बार डिकोड किया जाता है, अनज़िप किया जाता है, और फिर system जैसे किसी खतरनाक फ़ंक्शन में पास किया जाता है" जैसी चीज़ों का पता लगाया जा सके।

स्थापना

• Yara स्थापित करें.
  यह कुछ लिनक्स पैकेज मैनेजरों के माध्यम से भी संभव है:
  • Debian: sudo apt-get install yara
  • Red Hat: yum install yara (इसके लिए EPEL रिपॉजिटरी की आवश्यकता है)

आप इसे स्रोत से भी संकलित कर सकते हैं:

git clone [email protected]:VirusTotal/yara.git
cd yara/
YACC=bison ./configure
make

• php-malware-finder डाउनलोड करें git clone https://github.com/jvoisin/php-malware-finder.git

इसका उपयोग कैसे करें?

$ ./phpmalwarefinder -h
Usage phpmalwarefinder [-cfhtvl] <file|folder> ...
    -c  Optional path to a rule file
    -f  Fast mode
    -h  Show this help message
    -t  Specify the number of threads to use (8 by default)
    -v  Verbose mode

या यदि आप yara का उपयोग करना पसंद करते हैं:

$ yara -r ./php.yar /var/www

कृपया ध्यान रखें कि आपको कम से कम YARA 3.4 का उपयोग करना चाहिए क्योंकि हम व्हाइटलिस्ट सिस्टम के लिए हैशेज़ और लालची रेगेक्स का उपयोग कर रहे हैं। कृपया ध्यान दें कि यदि आप yara को स्रोत से बनाने की योजना बना रहे हैं, तो हैश के समर्थन के लिए आपके सिस्टम पर libssl-dev स्थापित होना चाहिए।

ओह, और वैसे, आप make tests के साथ व्यापक परीक्षण सूट चला सकते हैं।

व्हाइटलिस्टिंग

whitelist.yar फ़ाइल देखें। यदि आप आलसी हैं, तो आप generate_whitelist.py स्क्रिप्ट के साथ पूरे फ़ोल्डरों के लिए व्हाइटलिस्ट जनरेट कर सकते हैं।

मुझे इसके बजाय किसी और चीज़ का उपयोग क्यों करना चाहिए?

क्योंकि:

• यह प्रति नमूना एक नियम का उपयोग नहीं करता, क्योंकि यह केवल दुर्भावनापूर्ण पैटर्न खोजने की परवाह करता है, विशिष्ट वेबशेल की नहीं
• इसमें प्रतिगमन से बचने के लिए एक पूर्ण परीक्षण सूट है
• इसकी व्हाइटलिस्ट प्रणाली फ़ाइल नामों पर निर्भर नहीं करती
• यह (धीमी) एन्ट्रॉपी गणना पर निर्भर नहीं करता
• यह फ़ाइल हैश पर निर्भर होने के बजाय घेटो-शैली स्थैतिक विश्लेषण का उपयोग करता है
• उपरोक्त छद्म-स्थैतिक विश्लेषण के कारण, यह अस्पष्ट फ़ाइलों पर (विशेष रूप से) अच्छी तरह से काम करता है

लाइसेंसिंग

PHP-malware-finder को GNU लेसर जनरल पब्लिक लाइसेंस v3 के तहत लाइसेंस प्राप्त है।

अद्भुत YARA प्रोजेक्ट Apache v2.0 लाइसेंस के तहत लाइसेंस प्राप्त है।

पैच, व्हाइटलिस्ट या नमूने निश्चित रूप से स्वागत योग्य हैं।