Intellect Board — cистема управления сайтом

assessor написал:

[q]

Dearheart, что у вас прописано сейчас, до исправлений?
php_flag register_globals ?????
php_flag allow_url_include ?????
php_flag allow_url_fopen ????

[/q]

До исправлений все три стояли в "on"
У меня у того же хостера крутится ещё один форум, у него php_flag allow_url_include стоял в "off", а остальные в 'on" и этот форум не сломали. Так что возможно что именно эту дырку использовали.

При той информации, что мы имеем — вряд ли. Во-первых, логи слишком огромны, чтобы найти опасный запрос (особенно с учетом ситуации, когда непонятно, что именно искать), а если взлом делался с помощью POST-запроса, то его параметры в логах вообще не сохраняются. Если бы знать либо точное время взлома, либо в каком файле находится уязвимость (точнее, из первого можно было бы вывести второе, просмотрев в логах несколько предшествующих запросов), тогда бы были шансы ее найти.

У меня из этих флагов включен был только allow_url_fopen. Если ломали действительно через это, то надо искать все места, где открываются через fopen файлы, имена которых не являются константой.
Кроме того, вспомнил сейчас, что в админке есть такая функция, как установка дополнений, которая позволяет вполне легально загружать и выполнять определенный PHP-код, так как когда-то предполагалось выпускать обновления и дополнения к форуму в виде патчей, которые будут через нее ставиться, но не прижилось. Если получили доступ к админке с правами System, то вполне могли и через эту функцию взломать.
В общем, на всякий случай файл admin/addon.php советую удалить.

4X_Pro написал:

[q]

Еще сейчас зашел в Яндекс-Webmaster и обнаружил, что вредоносный код на страницах был обнаружен 22 ноября.

[/q]

Это Яндекс так обнаружил, на саммом деле взлом был 21 ноября примерно в 22 часа.

А функция fopen с переменным именем у нас используется например в логах - там в имя файла вставляется дата.

А есть ли смысл magic_quotes_gpc в On поставить?
Какое действие этого флага ?

4X_Pro написал:

[q]

имя должно быть не просто переменным, а как-то зависеть от параметров, принимаемых со стороны пользователя (т.е. данных из $_GET или $_POST).

[/q]

Нам, простым пользователям, точно это место не найти.


Dearheart, вот ты знаешь дату взлома, а есть ли у тебя логи за эту дату. Было бы легче искать.