Какие существуют уязвимости, позволяющие загрузить на сервер файл по FTP?

Question

[photosho]

На сервере появились зараженные файлы и чисто вирусные файлы (новые, которых там быть не должно). В том числе, файлы с php-формами, через которые, видимо, на сервер загружаются все остальные файлы. Подскажите, какими уязвимостями могут пользоваться для загрузки данных по FTP. Ведь, они должны были как-то загрузить туда свой первый файл.

Подозрение падает на один лендинг, который полностью выполнен на HTML (index.html) - там пара текстовых блоков и форма; возможности загрузки файлов на форме нет - там всего 3 поля. На стороне сервера поля обрабатываются через 'htmlspecialchars'. Возможно ли через такую форму загрузить файл на сервер?

Comments

[Lynn «Кофеман»]

Ftp это одна большая уязвимость. Начиная с отсутствия шифрования. Собственно на этом можно закончить

[photosho]

Lynn «Кофеман» я ошибся, конечно, там SFTP.

[Василий Банников]

photosho, Простой пароль например.
Если у вас там ещё php где-то крутится, то ещё в нём уязвимости могут быть

[photosho]

Василий Банников PHP нет, в том и дело. Это index.html. Ищу как раз варианты кроме простого пароля - это не уязвимость.

[Василий Банников]

photosho, а с помощью чего этот html раздаётся?
Какие-нибудь панельки для админки есть?
Как софт ещё стоит кроме ftpd?

[photosho]

Василий Банников это просто страница, выгруженная с какой-нибудь Тильды, она лежит себе и лежит, а на стороне PHP - только обработка полей и отправка письма. Поля обрабатываются вручную, каждое отдельно, все экранируются. Сервер большой, там много сайтов - и на WordPress, и на Bitrix. Могут быть уязвимости в них, но я отобрал список файлов с сортировкой по дате изменения, и анализ показал, что впервые файл с вирусом появился именно здесь.

Вирус рассчитан на WordPress - он создает некоторую WordPress'овскую структуру на таком пустом сайте, куда кладет свои зараженные файлы. Сейчас главный вопрос - в том, как он мог попасть на сервер. Мне показалось, что если он и взломал какой-то сайт, то положил файлы прежде всего в его папку, и поэтому, отсортировав по дате изменения, можно определить потенциальные точки проникновения.

[Василий Банников]

photosho,

Сейчас главный вопрос - в том, как он мог попасть на сервер

Да как угодно мог попасть, и следы вы не найдёте.
Сканируйте код на известные уязвимости, проверяйте обновления, смотрите, какие права есть у вашего бэкенда, и к чему он имеет доступ. И забирайте всё что можно.

Ну и удалите уже появившийся вирус.