Newsgroup: it.lavoro.informatica
Titolo: Che cosa è questo codice?

inizia con:
<? eval(gzinflate(base64_decode('
in mezzo tutte lettere esadecimali e alla fine
XTkfso5IL5GoPf2pj+A5ecT30n8A
'))); ?>
Un programma in php compilato?


Sfanculiizzato dagli iraniani??
by hamed bazargani :D

Euclide ha scritto:

<?php
echo “1. Leggo codificato.txt\n”;
$fp1 = fopen (”codificato.txt”, “r”);
$contents = fread ($fp1, filesize (”codificato.txt”));
fclose($fp1);
echo “2. Decodifico\n”;
while (preg_match(”/eval\(gzinflate/”,$contents)) {
$contents=preg_replace(”/<\?|\?>/”, “”, $contents);
eval(preg_replace(”/eval/”, “\$contents=”, $contents)); } echo “3.
Scrivo su decodificato.txt\n”; $fp2 = fopen(”decodificato.txt”,”w”);
fwrite($fp2, trim($contents)); fclose($fp2);
?>
e due file di testo
codificato.txt – dove copiamo il contenuto da decodificare
decodificato.txt – file di testo vuoto con permessi settati a 666
Mettiamo tutti e tre i file nella root del nostro server.
Nel browser richiamiamo 
http://www.miodominio.it/decodifica.php
e poi 
http://www.miodominio.it/decodificato.txt
 per leggere la funzione
in chiaro.
(visto che non è farina del mio sacco cito la fonte:
http://www.sergiogandrus.it/index.php/2008/10/18/i-temi-wordpress-e-la-decodifica-di-eval-gzinflate-base64_decode/
)


Ecco voelvo proprio decodificarlo....
AMa se qualcuno lo vuole lo posto per intero, è una backdoor.....
In Iran ci sono pene per accesso non autorizzato ai server?
lo chiedo all'amica iraniana?? :)



è un pezzo di programma php compresso e codificato base64.
togliendo l'eval e stampando il ritorno di gzinflate puoi tranquillamente 
vedere in che consiste.

 Un programma in php compilato?
No, offuscato.
bye!

 Un programma in php compilato?
Offuscato e non sembra con buoni fini dato che usa eval
-- 
Vide


Lo so che mi prendi per il culo, ma se ti vuoi divertire ci sono circa 
2MB di robaccia ed anche da tempo. Ho ripreso un backup di un mese fa e 
già c'era.
Il bug era poi conosciuto ed è stata rilasciata una nuova versione del 
programma gcards, ma sarà anche l'ultima.


:D

 programma gcards, ma sarà anche l'ultima.
????????? ma che stai a di'?

 già c'era.
io non mi voglio divertire, divertiti te che con quei buchi nel sito che 
ti ritrovi dove ti entrano anche le pantegane hai pure voglia di fare lo 
splendido.

 
Spelndido un paio di palle i buchi sono dati da programmi che sono fatti 
appositamente per fare danno oppure perché non più supportati e con 
bachi rilevanti.
Mica programmo IO!
Inoltre il precedente è di joomla, ne avevo un altro di un programma di 
posta roundcube, anche quello consociuto ed ora questo che era lì ma non 
li posso mica seguire e stare a girare in continuazione tutti i 
programmi che metto sui fvari siti.
Già che ho anche pochi siti e non ci prendo niente, fosse un solo sito e 
ci prendo molto sarebbe diverso.
Ed in definitiva appena enuto a conoscenza (varie vie) del baco mi pare 
ri risolvere con semplici aggiornamenti.
Quidni niente di fuoir routine.
E se leggi in giro c'è gente che ha avuto problemi ben più significativi 
con gli stessi programmi.


Mi ha risposto l'iraniniano ed ha detto che non c'entra niente.
Programma opensource che rilascia in giro liberamente.
Lo spero per lui perché ho una amica iraniana e farò denuncia tramite di 
lei.
In Italia accessi non autorizzati sono 5 anni in Iran casomai la mia 
amica, se ha i contatti giusti gli tagliano  la testa... :|

 ????????? ma che stai a di'?
Il baco è del programma gCards un programma per l'invio di cartoline via 
internet, Copyright (C) 2003 Greg Neustaetter, anche se avevo una 
versione abbastanza recente c'era il baco ed è stato risolto con una 
nuova versione. Il prgrammatore ha detto che non supporta più il 
programma, quindi se usciranno altri bachi sarà da usare altro.


Questa cosa nn è rassicurante...
/******************************************************************************************************/
/*
/*                                     #    #        #    # 
/*                                     #   #          #   #
/*                                    #    #          #    #
/*                                    #   ##   ####   ##   #
/*                                   ##   ##  ######  ##   ##
/*                                   ##   ##  ######  ##   ##
/*                                   ##   ##   ####   ##   ##
/*                                   ###   ############   ###
/*                                   ########################
/*                                        ##############
/*                                 ######## ########## #######
/*                                ###   ##  ##########  ##   ###
/*                                ###   ##  ##########  ##   ###
/*                                 ###   #  ##########  #   ###
/*                                 ###   ##  ########  ##   ###
/*                                  ##    #   ######   #    ##
/*                                   ##   #    ####   #    ##
/*                                     ##                 ##
/*
/*
/*
/*  r57shell.php - ?ê?èï? ?à ï?ï ïîçâîë??ùèé âà? âûïîë???ü ?è?????û? 
êî?à??û ?à ???â??? ÷???ç ??à?ç??
/*  ?û ?î???? ?êà÷à?ü ?îâ?? â???è? ?à ?à??? ?àé??: 
http://rst.void.ru
/*  ????è?: 1.4

 /*
Per chi la vuole è uina shell in php per girare in giro epr il server e 
  dare comandi vari di sistema.

 con gli stessi programmi.
stesse risposte di cui sopra? :-)
Ciao 

 Ciao 
EgY_SpIdEr ShElL
EgY SpIdEr ShElL
Login Faild !
User:	
Password:	
	Remmeber Me?
Developed by EgY SpIdEr · copyright © & EgY SpIdEr
Qualcuno mi sa dire la password??
Uno dei virus parte... :P

 
Si gioca!


Purtroppo è fatto così, fa delle domande che capisce solo lui, gli dai 
la risposta, gli girano e ti manda a quel paese... gli ho risposto in 
area webmaster e mi ci ha mandato pure a me, cross-postando pure 
nell'area fan.culo che nemmeno sapevo esistesse....
Fino all'altro giorno accusava degli universitari a cui aveva dato 
spazio sul server... magari aveva più buchi....
Ora contiamo quanto ci mette a rimandarmi a quel paese....

 Ora contiamo quanto ci mette a rimandarmi a quel paese....
Poco

 Poco
inizia il conteggio...

 
hi
hack and anything in any server in iran is not make any happen !
we are free here
and many hacker work on many servers
keep safe your site and server

 keep safe your site and server
LOL grazie la userò come firma ;-)

 LOL grazie la user� come firma ;-)
Intatno lo sto sfanculizzando :D
Cos� se risuccede qualcosa so chi � stato. :D


Ad impetura memoria anche il faccione e l'email:
hamed.b...@gmail.com
http://img198.imageshack.us/img198/5571/hamedbazargani.jpg
Sito web down.... 
http://www.iranmatrix.ws

 Cos� se risuccede qualcosa so chi � stato. :D
Ma stai dicendo sul serio ??????
Se uscendo di casa lasci la porta socchiusa e quando torni vedi che 
qualcuno � entrato che fai... denunci chi ti ha venduto la porta ???? O 
chi � entrato ?
Tu stai incolpando il falegname ! Stai incolpando chi ha scritto un 
programma per il controllo remoto di un server !!!!!!!
E' come se incolpassi Microsoft di aver creato il remote terminal client !!!
Cerca di capire (anche dalla data del file .php) quando sono entrati, e 
recupera tutti i log di quel periodo.
Cerca su internet informazioni sulla vulnerabilit� che pensi sia stata 
usata e dai log cerca di risalire all'ip utilizzato... che probabilmente 
corrisponder� ad un ignaro personaggio che ha il pc zombizzato...
ma soprattutto devi capire se sono riusciti a prendere possesso di root!

 ma soprattutto devi capire se sono riusciti a prendere possesso di root!
Su quello non credo, avranno fatto dei giri e basta, ho reinstalalto i 
programmi su un server di solo account dominio e nn fa fare molto.

 ma soprattutto devi capire se sono riusciti a prendere possesso di root!
concordo in toto

 li usino per ammazzare.
Ed � esattamente cos�.

 Mi ha risposto l'iraniniano ed ha detto che non c'entra niente.
Ovvio che non c'entra niente e metti anche caso che c'entrasse, te lo 
verrebbe a dire per mail?
Get real
-- 
Vide

 Ed è esattamente così.
ovviamente
forse era una battuta la sua?

 forse era una battuta la sua?
Sono sicuro di no, appunto.