Great, Got Hacked 不错，黑了客栈。 – 比特客栈的文艺复兴

GMT时间14日深夜3时左右，本站服务器被非法入侵，导致所有公众权限为777的文件夹被注入一个.htaccess文件和(随机数).php文件。
文件本身的功能是盗取所有进入本站的访客信息，然后向特定网站发送内容。

注入源无法得知，但鉴于文件本身并没有攻击力，入侵者必定使用了本站的漏洞，上传了攻击的脚本。

查看服务器log发现有人从包括70.87.89.10在内的数个主机寻找wp-table（wordpress插件）早期版本的后门。可以肯定是破坏者是有备而来，专门针对wordpress的用户。

PS：盗取的信息包括。

1。HTTP_HOST http请求的链接，例如如果你进入客栈的主页，这项就是。
2。REQUEST_URI 访问本站的切实页面。
3。PHP_SELF 当前脚本文件名。
4。QUERY_STRING 如果请求url中有问号(?)，则记录问号后的所有内容。
5。HTTP_REFERER 访问本站前的页面url，例如你从google来，则你在搜索单词也会被记录。（统计系统也干这个，用户可自行禁止）
6。HTTP_USER_AGENT 你的机器信息，包括浏览器和操作系统。（论坛也干这个，用户可自行伪装）
7。REMOTE_ADDR 你的IP地址。（论坛也干这个）
8。HTTP_ACCEPT_LANGUAGE 你设置的浏览器默认语言。（论坛也干这个，用户可自行伪装）

另外也从本地获得SERVER_NAME，本站服务器的主机名称，例如我们就是ticktag.org（虚拟主机）；以及SCRIPT_FILENAME获得当前脚本的绝对路径。

最后用base64加密，发送请求到这两个网站。
www3.rssnews.ws
www3.xmldata.info
两者网站都不存在于google，但有不少个人网站被注入同样的脚本。

目前清理已结束，接下来是研究攻击者留下的log。希望不是整台主机都被黑了才好
暂时以上。