интересный взлом с неясными намерениями :))

[Dimasscus]

Привет.

Обнаружил на клиентском сайте в модификаторах такую штуку :)))

содержимое модификатора прилагаю скрином(занятно что умелец указал свои данные в шапке мода)

 

айболитом естественно нашел кучу гадости с именами файлов как рандомными символами так и откровенно -shell.php :))

из обнаруженных действий злоумышленника- актвировал всех юзеров в админке и заменил пароли на все кроме админского.

логи у хостера не сохранились на момент создания файлов.

действия- вычистил все файлы которые нашел айболит, удалил всех юзеров кроме админа, сменил все пароли и явки.

что порекомендуете предпринять еще ? 

 

[chukcha]

Модификатор вы видите
Кроме как на п. меню он не действует
внутри
private function openShell() {

и сработает при post методе

Но сначала нужно пройти startup/permission
 

[HyperLabTeam]

43 минуты назад, Dimasscus сказал:

что порекомендуете предпринять еще ? 

Обрадовать клиента, что после похода к проститутке букет всякого идет бонусом.
скоро она начнет подставлять свои реквизиты и воровать денюжку.
бл*ь она и в африке клафилиншица

[Dimasscus]

2 минуты назад, AWARO сказал:

Обрадовать клиента, что после похода к проститутке букет всякого идет бонусом

клиент божится что с августа к сайту не притрагивался. так как был в отъезде. чудеса судя по датам изменений начались 16.11.2019

тут хз на что думать- то ли хостер молодец, толи админка с слабым паролем

[Dimasscus]

20 минут назад, chukcha сказал:

Модификатор вы видите
Кроме как на п. меню он не действует
внутри
private function openShell() {

и сработает при post методе

Но сначала нужно пройти startup/permission
 

меня удивил вообще такой интересный подход- залить модификатор с явным обозначением :))

буду мониторить пока. ну и чистить найденное

[ibond]

Спойлер

https://github.com/miklcct/opencart_reverse_shell

 

[Dimasscus]

2 часа назад, ibond сказал:

  Показать контент

https://github.com/miklcct/opencart_reverse_shell

 

прикольненько. спасибо"

[chukcha]

3 часа назад, ibond сказал:

  Показать контент

https://github.com/miklcct/opencart_reverse_shell

 

Я специально не давал ссылку - модуль есть и на офсайте

Код я приводил из него, а то что кто-то воспользовался - это уже беда

[Dimasscus]

31 минуту назад, chukcha сказал:

Я специально не давал ссылку - модуль есть и на офсайте

Код я приводил из него, а то что кто-то воспользовался - это уже беда

к сожалению и у хостера логов нет- интересно как это попало на сайт и при каких обстоятельствах