Spašavanje uhakovanog web server-a. - Strana 2

vidak · 09. 01. 2011.

tako su uhakovali.
Koliko sam za sada shvatio, preko GET metode su gađali /tmp dir odakle su nekako upisali sadržaju u index.php

@Miroslav, uklonio sam aplikaciju.

sa ./../../../../../../../../../../../../../../../../../../../../../../../ su gađali u root /tmp dir ili gde god da je chroot-ovan
a onda sa /tmp/x-treme%0000 HTTP/1.1 ... blage veze nemam šta su radili.
U svakom slučaju sam im zahvalan jer ću ovo provaliti pre ili kasnije pa će mi zlata vredeti.

3banchi · 09. 01. 2011.

Backdoor shell uploader...pogledaj

http://www.alboraaq.com/forum/archiv...p/t-28371.html

http://jimmyromanticdevil.wordpress....-datalfi-vuln/

3banchi · 09. 01. 2011.

Kako izgleda na delu...

Na ovoj strani skripta pravi ulaz ili rupu:
http://nesco-hr.com/contact_us_a.php

A stranica izgleda ovako:
http://nesco-hr.com/contact_us.php

nixa · 09. 01. 2011.

Jako dobra checklista

http://serverfault.com/questions/218...ergency#218011

ivanhoe · 09. 01. 2011.

nikad, ali nikad ne dozvoljavati da se require/include pozove na necem sto je doslo spolja, to je uzasno velika rupa...

mangia · 10. 01. 2011.

Isto tako često sam nalazio da se protiv stringova tipa ./../../../../../../../../../../../../..

ljudi bore sa

$blabla = str_replace("../","",$blabla);

što se lako prevazilazi sa unosom ....//....//....//....// kao $blabla

Pametnije je uraditi

$blabla = str_replace("..","",$blabla); (dakle bez "/")

Ili barem stavite gornji kod u neku while petlju....

Takođe na osnovu ovoga što se desilo ne bih rekao da su napravili neku veliku štetu.

Ukloni prvo problematični kod, pregledaj logove da vidiš čemu su pristupali, pregledaj na serveru da nema šta otvoreno (neki portovi, itd), pogledaj da nisu mijenjali neke od bitnih fajlova, uradi update da ih možda prepišeš novijima i naravno zamijeni lozinku...

Holix · 12. 01. 2011.

http://php.net/basename

09. 01. 2011.	#11
vidak Banned Expert Datum učlanjenja: 29.09.2007 Poruke: 458 Hvala: 131 71 "Hvala" u 44 poruka	tako su uhakovali. Koliko sam za sada shvatio, preko GET metode su gađali /tmp dir odakle su nekako upisali sadržaju u index.php @Miroslav, uklonio sam aplikaciju. sa ./../../../../../../../../../../../../../../../../../../../../../../../ su gađali u root /tmp dir ili gde god da je chroot-ovan a onda sa /tmp/x-treme%0000 HTTP/1.1 ... blage veze nemam šta su radili. U svakom slučaju sam im zahvalan jer ću ovo provaliti pre ili kasnije pa će mi zlata vredeti. Poslednja izmena od vidak : 09. 01. 2011. u 19:51.

09. 01. 2011.	#12
3banchi branislav mandic mando Wrote a book Datum učlanjenja: 30.10.2009 Lokacija: NS Poruke: 1.241 Hvala: 261 486 "Hvala" u 189 poruka	Backdoor shell uploader...pogledaj http://www.alboraaq.com/forum/archiv...p/t-28371.html http://jimmyromanticdevil.wordpress....-datalfi-vuln/ __________________ ... Ej, živote, teško ovo jebote, mani me se živote, ti ga nabijem!

09. 01. 2011.	#13
3banchi branislav mandic mando Wrote a book Datum učlanjenja: 30.10.2009 Lokacija: NS Poruke: 1.241 Hvala: 261 486 "Hvala" u 189 poruka	Kako izgleda na delu... Na ovoj strani skripta pravi ulaz ili rupu: http://nesco-hr.com/contact_us_a.php A stranica izgleda ovako: http://nesco-hr.com/contact_us.php __________________ ... Ej, živote, teško ovo jebote, mani me se živote, ti ga nabijem!

09. 01. 2011.	#14
nixa Nikola Denić Sir Write-a-Lot Datum učlanjenja: 18.05.2005 Lokacija: Beograd Poruke: 3.694 Hvala: 160 458 "Hvala" u 164 poruka	Jako dobra checklista http://serverfault.com/questions/218...ergency#218011 __________________ Do not ask yourself what the world needs. Ask yourself what makes you come alive, and then go do that. Because what the world needs is people who have come alive

09. 01. 2011.	#15
ivanhoe Ivan Dilber Sir Write-a-Lot Datum učlanjenja: 18.10.2005 Lokacija: Bgd Poruke: 5.320 Hvala: 104 2.344 "Hvala" u 583 poruka	nikad, ali nikad ne dozvoljavati da se require/include pozove na necem sto je doslo spolja, to je uzasno velika rupa... __________________ Leadership is the art of getting people to want to do what you know must be done.

10. 01. 2011.	#16
mangia Pukovnik u penziji Grand Master Datum učlanjenja: 11.10.2006 Lokacija: Banjaluka, BiH Poruke: 941 Hvala: 209 585 "Hvala" u 137 poruka	Isto tako često sam nalazio da se protiv stringova tipa ./../../../../../../../../../../../../.. ljudi bore sa $blabla = str_replace("../","",$blabla); što se lako prevazilazi sa unosom ....//....//....//....// kao $blabla Pametnije je uraditi $blabla = str_replace("..","",$blabla); (dakle bez "/") Ili barem stavite gornji kod u neku while petlju.... Takođe na osnovu ovoga što se desilo ne bih rekao da su napravili neku veliku štetu. Ukloni prvo problematični kod, pregledaj logove da vidiš čemu su pristupali, pregledaj na serveru da nema šta otvoreno (neki portovi, itd), pogledaj da nisu mijenjali neke od bitnih fajlova, uradi update da ih možda prepišeš novijima i naravno zamijeni lozinku... __________________ mangiaphoto \| BLOGERAJBLOG \| ServerAdminBlog Poslednja izmena od mangia : 10. 01. 2011. u 01:20.

12. 01. 2011.	#17
Holix novi član Datum učlanjenja: 12.01.2011 Poruke: 2 Hvala: 0 1 "Hvala" u 1 poruci	http://php.net/basename

Alati teme
Pogledajte verziju za štampanje Pošaljite email-om ovu stranu
Način prikaza
Linearni prikaz Prebacite u hibridni prikaz Prebacite u prikaz po temama