如何扫描静态网站备份，以查找是否存在黑客攻击的证据。

Question

3

我需要检查一个Drupal网站，以确定它是否可能因SA-CORE-2014-005（Drupageddon）漏洞而被攻击。我计划按照另一个网站提供的一组程序进行操作：

其中一个步骤是：

转储整个网站HTML，例如使用某些爬虫，并在链接中查找其他参数

我打算使用 wget -r -k -l0 website-uri 转储此站点。我不确定需要寻找哪些内容？如何进行grep操作？是否有一些工具可以自动完成这些操作？

- Benjen

1个回答

网页内容由stack overflow 提供, 点击上面的

可以查看英文原文，
原文链接

- pal4life · Answer 1

关于转储或GREP的方法：

数据库：使用Sequel Pro/PhpMyAdmin，您可以转储整个数据库的.sql文件，然后可以通过文本编辑等方式查找您要查找的内容。您还可以通过这种方式直接比较两个数据库转储，以查找前后情况。

使用Drush：很多任务都可以通过Drush处理。如果您不知道或没有使用过它，强烈建议了解更多并使用它。

要查找的内容：

我在你的清单中看到缺失的关键点之一是日志。首先要查看的地方之一是Drupal Watchdog和服务器日志。这些日志可以作为任何可疑活动（当然是大量消息）的良好指标，以及某些时间发生的情况的良好快照。
缩小您正在查找或知道攻击可能导致问题的时间范围将帮助您查看更小的日志子集
请记住，有些妥协超出了代码范畴。例如，某人获得管理员访问权限并更改某个内容。这真的很难与站点管理员或编辑更新内容的常规站点行为分开。因此，一切都取决于利益相关者和站点定义的妥协定义。