Новому клиенту нужна помощь в защите его сайта после взлома ... и я нашел это ...

Question

Итак, что это? Я действительно не испытал слишком много, насколько "взлом" идет. Я имел дело с большинством проблем с приложениями PHP и решил около 70% этого кода.

Но вот что я нашел, Web Shell от Boff?

Мой код .

Answer 1

Сложно сказать, но, как правило, для использования чего-то подобного существует петля в include / require, которая включает переменную $_GET или $_POST, которая не фильтруется / не проверяется.

IE:

include($_GET['page'] . '.php');

Что некоторые люди делали / делают для уменьшения кода, однако любой мог вставить сюда URL-адрес и написать новый файл и т. Д.

Чтобы исправить:

$page = !empty($_GET['page'])?$_GET['page']:index;

$whiteList = array('index', 'home');

if (!in_array($page, $whiteList)) {
    $page = 'index';
}

include($page . '.php');

Но да, это только один из способов.Я уверен, что есть много других методов.

Answer 2

Да, вы нашли бэкдор, который злоумышленник использует для доступа к вашему сайту. Но это только симптом гораздо более серьезной проблемы. Вероятно, что установленное вами веб-приложение или библиотека уязвимы для атаки. Кто-то использовал Код эксплойта , чтобы удалить этот бэкдор, и если вы не исправите сайт, злоумышленник просто удалит другой бэкдор.

Убедитесь, что все обновлено. Попробуйте установить брандмауэр веб-приложений, например Mod_Security .

Answer 3

Это похоже на инструмент удаленного администрирования, который потенциально может быть использован в качестве задней двери.