Wpis z mikrobloga

Mirki, sprawa jest.
Dzisiaj wszystkie 6 moich stron zostało shackowanych:
Hacked By Dr.SiLnT HilL
E0g:[!]Chinafans[!][!]Mr.Ferksh[!]--DeFaceD.*
#1337exploit_Team
eg.hack3[at]gmail[dot]com

Doszedłem do tego, że jedyne co zrobili to podmienili wszystkie pliki index.php. Mam jeszcze kilka innych - starych lub niedokończonych stron, które nie były podpięte pod żadną domenę (również pliki index są pozamieniane).

I tutaj mam do Was pytanie,
Czy mogli dostać się przez SQL czy musieliby mieć dostęp do serwera?

#pytaniedoeksperta #pytanie #serwery #komputery
  • 17
@michau15: Podeślij na PW jakieś dane do serwera to sprawdzimy, prawdopodobnie jednak skoro były to strony typowo w HTML/PHP to Miałeś lub masz dziurę w skrypcie lub coś się dostało przez FTP
@wund3r: ?

@michau15: najlepiej posiadać hosting który nie pozwala jednej stronie przejść do plików innej stronie, e przypadku hostingów shared mało które hostingi dają takie możliwości, częściej resellery lub vps
@webh: Mam nadzieje, że jak wam coś się popsuje to nie dacie komuś innemu haseł do waszych serwerów ( ͡º ͜ʖ͡º)
Poza tym taka praktyka(?) Żeby wejść komuś na ftpka (konkurencyjnej firmy pewnie)... Zawsze można zrobić sobie dumpa bazy albo wrzucić jakiegoś swojego shella na ftpku i wiola spamik i zakrojona działalność przeciwko konkurencji

@michau15: Och, przepraszam panie użytkowniku xD
@wund3r: OP raczej nie oferuje hostingu a raczej ma zwykłego shareda więc trochę mylisz tematy chyba, pracujemy przy tym więc możemy pomóc ;))
@webh: Matko, czytanie ze zrozumieniem kłania się nisko. Nie odrzucajcie tej znajomości ( ͡° ͜ʖ ͡°)-

Super, że pomagacie, ale nie sądzicie, że pierwszą osobą, która powinna wiedzieć o włamaniu to jest administrator hostingu? Powinien sprawdzić czy nie doszło do głębszej penetracji niż tylko do zmiany indexów. Poza tym dalej uważam, że nie powinniście jako konkurencyjny dostawca usług ingerować w takie sprawy.
@wund3r: to ja mam propozycję - pomóż OP-owi Ty, bo póki co skupiłeś się na pouczaniu nas ( ͡° ͜ʖ ͡°)
jasne, jako rozsądną firma będziemy instalować shelle na kontach osób prywatnych, zamiast pomóc...wydaje mi się że trochę w paranoje popadłeś przyjacielu ;) ewentualnie wszystkich wokół masz za złych
@webh: Ja napisałem co powinno się zrobić i na tym moja "pomoc" się kończy. Paranoją byłoby udostępnianie swojego hostingu pierwszemu lepszemu mirkowi z internetu. Zwykłe podanie sprawy do admina hostingu, że taki incydent miał miejsce i pewnie sprawa zostanie rozwiązana... w końcu to tylko podmiana indeksów. Dziękuje, eot.
@wund3r: no pierwszemu lepszemu mirkowi zdecydowanie nie ma sensu podawać, dlatego mimo wszystko uważam że trochę nas niedoceniłeś, aczkolwiek rozumiem to doskonale. Udanej majówki ;)
no to witaj w klubie mi dojechali 9 stronek ale po kolei. znajdź na serwerze takie pliki będziesz wiedział przez którą stronę cię dojechali reszta to rykoszet - eg.htm, pz.htm, pzimi.php. skasuj te pliki /możesz ewentualnie skopiować je i podglądnąć co mają w środku :)./. Prawdopodobnie masz włączona bibliotekę /zresztą jak wielu/ getmagicquotes_gpc jeśli strony ci się ładują bez niej wyłącz ją. to dzięki niej wjechali ci na stronę. Z
@dombrowski: atak sql ? masz na myśqli że za pomocą sqli utworzyli pliki ? to weź zmień uprawnienia do zapisywania w folderach na przyszłość tak aby proces sqla nie mógł zapisywać plików w katalogu strony xD
Syfu po ataku jest więcej niż tylko podmienione index.php. Posprawdzajcie sobie ftp ze stronami czy macie takie pliki jak: masa.php, jmails.php, check.php, css.php, jmail.php. Z tego co widzę na mojej stronie część plików była wrzucona 8h przed finalnym atakiem. Dla bezpieczeństwa należy przywrócić stronę z kopii zapasowej i zaktualizować do najnowszej wraz z innymi wtyczkami.