nicht angemeldet
was bedeutet diese *.cgi?g=ls anfrage?
Hallo,
Kann mir jemand sagen was diese komische anfrage
http://*****/whereami.cgi?g=ls
auf eines meiner cgi's bedeutet?
Was bewirkt das allenfalls?
Das wherami.cgi zeigt in der regel den rootpfad vom server an.
Es genügt eigentlich nur das cgi normal aufzurufen.
Gruss vom Alain
-
Moin!
Hallo,
http://*****/whereami.cgi?g=ls
Das kommt auf das CGI an. Vielleicht ist es eines dieser unsicheren Monster. Und g eine Variable, die vom Script ausgelesen wird, warauf es den Befehl, der darin steht ausführt.
ls listet den Verzeichnisinhalt...
MFFG (Mit freundlich- friedfertigem Grinsen)
fastix®
--
Meinereinerselbst ist auf der Suche nach Aufträgen-
hallo,
Das kommt auf das CGI an. Vielleicht ist es eines dieser unsicheren Monster. Und g eine Variable, die vom Script ausgelesen wird, warauf es den Befehl, der darin steht ausführt.
ls listet den Verzeichnisinhalt...
was kann schlimmsten falls passieren?
Hier ist ein teil des cgi's:
#!/usr/bin/perlprint "Content-type: text/html\n\n";
###Find where we are
open(PWD,'pwd|');
$pwd = join('',<PWD>);
$pwd =~ s/\n//gi;
close PWD;Find the system date
open(DT, 'date "+DATE: %Y-%m-%d%n<br>TIME: %H:%M:%S"|');
$dt = join('', <DT>);
$dt =~ s/\n//gi;
close DT;print "<HEAD><TITLE>Advanced Whereami.cgi</TITLE></HEAD>\n";
print "<body bgcolor='#FFFFFF' text='#000000'>\n";
print "<CENTER><TABLE BORDER=0 WIDTH=75% CELLPADDING=5 CELLSPACING=1>\n";
print "<TR><TD COLSPAN=2 BGCOLOR=#80809F><b>YOU ARE HERE....</b> <INPUT TYPE=text VALUE=$pwd SIZE=50></TD></TR>\n";
$eln = crypt($pwd,time());
print "<TR BGCOLOR=#999999><TD>Encryption length is: ". length($eln) ."</TD>\n";
print "<TD>$eln</TD></TR>\n";
print "<TR><TD COLSPAN=2 ALIGN=center BGCOLOR=#80809F> $dt </TD></TR>\n";
print "</TABLE></CENTER>\n";
print "\n <BR><BR>\n";
print "<CENTER><h2>Dump of Environment variables</h2></CENTER>\n";
print "<CENTER><TABLE BORDER=0 WIDTH=75% CELLPADDING=5 CELLSPACING=1>\n";
foreach $key (sort(keys %ENV)) {
print "<TR><TD VALIGN=top BGCOLOR=#80809F><B>", $key, "</B></TD><TD BGCOLOR=#999999>", $ENV{$key}, "</TD></TR>\n";
}
print "</TABLE></CENTER>\n";
print "\n <BR><BR>\n";
print "<CENTER><h2>Whereami.cgi Stats</h2></CENTER>\n";($dev, $ino, $mode, $nlink, $uid, $gid, $rdev, $size,
$mtime, $ctime, $blksize, $blocks) = stat("./whereami.cgi");print "</body></html>\n";
exit;
----------------
es zeigt einfach nur den pfad dess cgis und vom server und die umgebungsvariablen etc. an
gruss vom Alain-
hallo,
es zeigt einfach nur den pfad dess cgis und vom server und die umgebungsvariablen etc. an
na also, wenn Du es weißt, warum fragst Du?
PWD ist unter unix der Befehl "print working direction" (zu deutsch: "schreibe den aktuellen Verzeichnispfad"
Gruß!
Pöt-
Moin!
hallo,
es zeigt einfach nur den pfad dess cgis und vom server und die umgebungsvariablen etc. an
Ja, aber vielleicht vermutet da jemand genau so wie ich noch ein wenig mehr...
Dein Skript macht weiss Gott nichts anderes. Vielleicht gibts ja ein gleichnamiges...
MFFG (Mit freundlich- friedfertigem Grinsen)
fastix®
--
Meinereinerselbst ist auf der Suche nach Aufträgen-
hallo,
ich nehme an, da hat sich jemand ein kleines Programm, analog zum Unix´s "whoami" ("wer bin ich?") mit der Bezeichnung "whereami" geschrieben, vielleicht braucht er es für ne shell-Sitzung oder telnet etc? So weiß er immer (bei testzwecken) wo er ist und bekommt auch noch seine UGVen angezeigt...
Gruß!
Pöt-
hallo,
ich nehme an, da hat sich jemand ein kleines Programm, analog zum Unix´s "whoami" ("wer bin ich?") mit der Bezeichnung "whereami" geschrieben, vielleicht braucht er es für ne shell-Sitzung oder telnet etc? So weiß er immer (bei testzwecken) wo er ist und bekommt auch noch seine UGVen angezeigt...
Nö das problem ist,der user fragt alle cgi's mit dieser methode ab auf meinem server die z.T. gar nicht vorhanden sind.
Ich schätze mal der hat irgend einen exploider gebastelt um meinen server auszuschnüffeln.
Aber leider hat er da etwas pech,weil bestimmte cgi's nur auf solche befehle warten und dann per htaccess geblockt werden mit seiner aktuellen IP .
Dazu krieg ich immer eine mail von solchen requests.
Gruss
Alain-
hallo,
zur Info: http://www.tecchannel.de/sicherheit/reports/434.html
Gruss
PÖt-
hallo,
zur Info: http://www.tecchannel.de/sicherheit/reports/434.html
wow,das hätt ich jetzt nicht gedacht,dass so ein script so gefährlich sein kann.
Jetzt ist mir auch klar warum ein Angreifer so zu den geschützten passwort und user daten gekommen ist.
Desshalb hab ich auch selber ein perl-script geschrieben und auf diesen namen umbenannt der den angreifer blockt über die htaccess.
Gruss
AlainP.S.Das whereami.cgi war tatsächlich von ccbill geschrieben worden.
ccbill schreibt aber auch noch andere sehr fragwürdige und unsichere cgi's die
schon lange bekannt sind bei den crackers. http://www.theregister.co.uk/content/archive/9978.html-
Moin!
ccbill schreibt aber auch noch andere sehr fragwürdige und unsichere cgi's die
schon lange bekannt sind bei den crackers. http://www.theregister.co.uk/content/archive/9978.htmlStimmt. "Angriffe" auf nicht vorhandenes CCBill- Verzeichnis habe ich auch immer mal wieder in den Log's. Die Software scheint klasse zu sein.... CCBill macht übrigens Zahlungssysteme. Wow!
MFFG (Mit freundlich- friedfertigem Grinsen)
fastix®
--
Meinereinerselbst ist auf der Suche nach Aufträgen
-
-
-
-
-
-
-
-
-
Hi Alain,
Kann mir jemand sagen was diese komische anfrage
http://*****/whereami.cgi?g=ls
auf eines meiner cgi's bedeutet?das wird am besten der Autor von "whereami.cgi" beantworten können.
Viele Grüße
Michael--
T'Pol: I apologize if I acted inappropriately.
V'Lar: Not at all. In fact, your bluntness made me reconsider some of my positions. Much as it has now.
(sh:| fo:} ch:] rl:( br:^ n4:( ie:% mo:) va:| de:/ zu:| fl:( ss:) ls:~ js:|)
=> http://www.peter.in-berlin.de/projekte/selfcode/?code=sh%3A|+fo%3A}+ch%3A]+rl%3A(+br%3A^+n4%3A(+ie%3A%25+mo%3A)+va%3A|+de%3A%2F+zu%3A|+fl%3A(+ss%3A)+ls%3A~+js%3A|
Auch diese Signatur wird an korrekt konfigurierte Browser gzip-komprimiert übertragen.