Фишинг?

Тема в разделе "Обсуждение магазина", создана пользователем hibiki, 12 сен 2012.

Страница 1 из 2
  1. hibiki

    hibiki Гик

    Вот что я с утра увидел при попытке зайти на форум.

    Телнет-сессия: обратите внимание на 302-й код и Location
    и угадайте с одного раза, что скрывается на сайте под видом инсталлятора Firefox'а (или другого браузера, в зависимости от User-agent)

    пора уже что-то делать, мне кажется. сначала спам в немеряных количествах, висящий по два дня на форуме, теперь вот эта прелесть...

    Код (Text):
    telnet forum.amperka.ru 80
    GET / HTTP/1.1
    Host: forum.amperka.ru
    User-Agent: Mozilla/4.0 (compatible;)
    Connection: close
     
    -------------------------------------------------
     
    HTTP/1.1 302 Moved Temporarily
    Server: nginx/0.7.65
    Date: Wed, 12 Sep 2012 05:22:13 GMT
    Content-Type: text/html; charset=UTF-8
    Connection: close
    X-Powered-By: PHP/5.3.2-1ubuntu4.17
    Location: http://www.net-chek.ru/
    Set-Cookie: arx=1; expires=Wed, 12-Sep-2012 09:22:13 GMT; path=/
    Expires: Thu, 19 Nov 1981 08:52:00 GMT
    Cache-control: private, max-age=0
    Set-Cookie: xf_session=c7a32fa43c7c3970a0dedbe249706aab; path=/; httponly
    Last-Modified: Wed, 12 Sep 2012 05:22:13 GMT
    Content-Length: 27352
     
    <!DOCTYPE html>
    <html id="XenForo" lang="ru-RU" dir="LTR" class="Public LoggedOut Sidebar" xmlns:fb="http://www.facebook.com/2008/fbml">
    <head>
     
        <meta charset="utf-8" />
     
            <base href="http://forum.amperka.ru/" />
            <script>
                var _b = document.getElementsByTagName('base')[0], _bH = "http://forum.amperka.ru/";
                if (_b && _b.href != _bH) _b.href = _bH;
            </script>
    регистратор домена - reg.ru
     
    hibiki, 12 сен 2012
    #1
  2. hibiki

    hibiki Гик

    скриншот с сайтом прикрепить не могу, но сохранил себе
     
    hibiki, 12 сен 2012
    #2
  3. Citrus

    Citrus Нерд

    Аналогичная ситуация. как я понимаю форум поднимали энтузиасты =) и о защите не думали, а вот и настал момент задуматься =)
     
    Citrus, 12 сен 2012
    #3
  4. Станислав

    Станислав Гик

    любой скрипт рано или поздно хакнут и заразят все форумы на этом движке. надо чуть потерпеть и дождатся выхода заплатки и ее установки на скрипт.
     
    Станислав, 12 сен 2012
    #4
  5. hibiki

    hibiki Гик

    эмм... кагбе, отдать заголовок без модификации файлов движка в php не получится. а если она случилась - алярм-алярм, откуда у веб-сервера права на запись в директорию со скриптами?

    или того хуже - повышение привилегий
     
    hibiki, 12 сен 2012
    #5
  6. Станислав

    Станислав Гик

    скрипт хранит в себе пароль к фтп, скорее всего.
     
    Станислав, 12 сен 2012
    #6
  7. hibiki

    hibiki Гик

    о.О а нафига?

    а если он совпадает с паролем субд/чего-то еще - еще раз алярм! :)
     
    hibiki, 12 сен 2012
    #7
  8. Станислав

    Станислав Гик

    одно из правил безопасности - не использовать одинаковые пароли.
    а скрипт может хранить, может и не хранить... в зависимости от потребностей функционала.
     
    Станислав, 12 сен 2012
    #8
  9. hibiki

    hibiki Гик

    это-то понятно, но несекьюрности не отменяет
     
    hibiki, 12 сен 2012
    #9
  10. DayGaik

    DayGaik Гик

    Вполне вероятно что авторы так зарабатывают
     
    DayGaik, 12 сен 2012
    #10
  11. Rx

    Rx Нерд

    Загрузить файл > Вставить: миниатюра / полное изображение.
     
    Rx, 13 сен 2012
    #11
  12. hibiki

    hibiki Гик

    не с этим проблема :) у меня на работе очень урезанный инет, multipart в запросе режется только так
     
    hibiki, 13 сен 2012
    #12
  13. nailxx

    nailxx Официальный Нерд Администратор

    Да, на наш форум просто адски нападают последний месяц. Со спамом проблема практически решена: пяток дополнений делают своё дело. Но с фишингом всё немного нетривиально: детектив тянется уже давно и пока не удаётся понять как «они» вклиниваются в скрипт. Понятно где, но пока не ясно как.

    Решаем проблему: пробуем разные варианты.
     
    nailxx, 14 сен 2012
    #13
  14. hibiki

    hibiki Гик

    под "понятно где" подразумевается конкретный скрипт?
    может, дампить http-запросы к этому адресу, а потом на тестовой машине загнать их как входные данные в скрипт под отладчиком?

    на руткиты сервер не проверяли?
     
    hibiki, 14 сен 2012
    #14
  15. nailxx

    nailxx Официальный Нерд Администратор

    По логу авторизации сервер чистый. Скрипт, да, конкретный, но меняют его из вне: сопоставить имя файла и URL по которому находится обработчик, который меняет файл пока не представляется возможным.

    Похоже на вид хака, когда загружают файл с поддельным именем, начинающимся с '../', но всего навсего похоже — у нас что-то другое.
     
    nailxx, 14 сен 2012
    #15
  16. hibiki

    hibiki Гик

    ммм.. логи авторизации вполне могут быть чистыми - зачем руткиту логиниться?

    брутальный способ - поиск по имени файла (последовательности байтов) в дампе ФС - оставим на случай совсем уж отчаяния.

    а вот писать все запросы одновременно с мониторингом изменения файлов (какая ФС, кстати? нотификацию изменений файлов поддерживает?) - самое оно, мне кажется. как только изменение поймали - гасим сервер и лезем в логи. не такое большое количество обращений, нет?

    параноидальный режим - дампить весь входящий сетевой трафик, но никакого ж места не хватит :)
     
    hibiki, 14 сен 2012
    #16
  17. hibiki

    hibiki Гик

    а, да - анализ трафика на предмет имени скрипта тоже можно организовать (wireshark/tcpdump/специально обученные файерволлы). вариантов написания (кодировок) там еще меньше, чем при обращении к файлу по имени
     
    hibiki, 14 сен 2012
    #17
  18. nailxx

    nailxx Официальный Нерд Администратор

    Файловая система: ext4. Про синхронную ловлю запросов и изменений, да, можно попробовать.

    Спасибо!
     
    nailxx, 14 сен 2012
    #18
  19. Rx

    Rx Нерд

    Больше всего интересно, кому вы вдруг понадобились? Вроде и не Яндекс, и не Хабр. Тем более, каникулы у школьников давно закончились.
     
    Rx, 14 сен 2012
    #19
  20. nailxx

    nailxx Официальный Нерд Администратор

    Может чёрное SEO, чёрт его знает. С другой стороны, не весёлую картинку со словами «мы вас хакнули» вешают, а пытаются зарабатывать деньги: чуть более профессионально, чем школьники.
     
    nailxx, 14 сен 2012
    #20
    Злая Птичка нравится это.
Страница 1 из 2