Gehackt?

[Ron]

Hallo zusammen,
ich hoffe ihr könnt mich ein wenig aufklären was da los ist.

Wir haben eine Seite die mittlerweile nicht mehr in Gebrauch ist, aber aus nostalgischen Gründen noch Online ist.
Eben haben wir entdeckt das irgendwie irgendjemand es geschafft hat Text-Link werbung auf der Seite zu integrieren.

Auf der Seite gibt es einen Newsbereich und in diesem tauchen plötzlich kleine Iframes-Bereiche auf in denen türkische Text-Links gezeigt werden.

der Newsbereich ist ein schlichtes PHP-Script, was "Redakteure" bedienen können. Er kann ein Bild hochladen und Text eingeben. der Inhalt wird dann in Text-dateien gespeichert. das Bild in einen Ordner gespeichert.

Ich muss zugeben, dass der Admin-Bereich nicht passwort-geschützt war.
das News-Script ist ein recht geläufiges Script, was wohl von vielen eingesetzt wird/wurde. (Planetnews)

Jetzt liegt im Bilderordner eine asp-datei. über google-cache habe ich eine andere seite gefunden auf der das script wohl auch lief...

So sieht der asp-script-code aus

wenn ich die asp-datei aufrufe sehe ich folgende seite (als bild gespeichert)

So sieht das ausgeführte asp-script aus

die Iframe-werbe-text-links sehen so aus:

<iframe src="http://ad.hepsiburada.com/advEngine.aspx?accountID=845c87b7-96b1-.............

Weiss jemand genaueres dazu?
Was macht das asp-script genau?

Gruß Ron

[Tom]

Hello Ron,

als erstes solltest Du den gesamten Host vom Netz nehmen.

Um dann eine Aussage treffen zu können, müsstest Du mal das Uploadscript posten und mal die Einrichtung mitteilen.

Welches OS
welcher Webserver
Welche PHP-Version, als Modul oder CGI
Welche weiteren aktiven Backends

Vermutlich wird dann Dein ganzer Host verwanzt sein :-(

Liebe Grüße aus dem Cyberspace

Tom vom Berg

[LX]

Da ActiveScript verwendet wird, geht meine Kristallkugel von einem Windows Server 2003 mit MS IIS aus, der für die meisten Hacker eine leichte Beute ist.

Speichere die Log-Dateien und setze künftig ein Passwort für den Admin-Zugang.

Gruß, LX