История одного бэкдора

[angrybass]

времени у них это заняло минут 5, они готовым инструментом пользовались, скорее всего

[oxyberg]

Может это сайт был не единственным, значит профит они все-таки получили.

[sand_alkr]

За пять лет работы — на хлеб с маслом хватит точно.

[BuriK666]

Если убрать &copyZend и т.д. то ничего работать не будет.

[KriMs]

Там ещё должен быть хеш юзера. Думаю можно написать тех. поддержку sape и, может быть, ему что-то сделают…

[sand_alkr]

Там он даже не один. На выбор _SAPE_USER_, _LINKFEED_USER_, _ML_ID в дополнение к _LNK_USER, который и шлется на сапу для получения ссылок.

[bezumkin]

Вот вы любопытный.

Я бы сделал бэкап, удалил подозрительный код и проверил — на месте ли ссылки?

[NeverFoldAQ]

Простите, а Вы кем работаете?

[Neuronix]

Гораздо интереснее узнать то, как он там появился, на мой взгляд.

[bezumkin]

Согласен, но тут вот какое дело.

[kuzemchik]

Мне попадался шелл в котором был копирайт с запретом на реверс инжиниринг =)
А дальше все примерно похоже как у вас.

Интересно было читать. Правда тот факт, что @ и array_map пришлось гуглить мне немного поставил в тупик.

[v0s]

И незаурядное регулярное выражение /x/e

preg_replace( "#x#e", ....

Я с недоверием отношусь к сложным регулярным выражениям, а тут и вовсе потух.

[sand_alkr]

При первом чтении детали опускаются. Сначала заметил preg_replace(), и глаза сразу начинают искать что-то похожее на регулярное выражение. Вот так, в спешке, особо не разбираясь в порядке параметров, принял странного вида второй параметр за регулярное выражение. И вот оно-то меня и впечатлило. Видимо вы чаще меня пользуетесь регулярками, потому и в заблуждение вас ввести сложнее.

[v0s]

Да, я так, в качестве шутки. Рад что удалось раскурить код :)

[DrNemo]

Солидарен с вами, у меня так же возник вопрос об уровне владения php автором.

[sand_alkr]

1. подломали 5 лет назад, и сейчас уже не найти правды;
2. чтобы что-нибудь сделать было бы неплохо выкинуть всю ту попахивающую кучу неподдающегося рефакторингу исходного кода, переехать на сервер с современными версиями apache/php и доступом, отличным от FTP. Но заказчику такое решение дастся очень тяжело, так что только хардкор. А по поводу конкретно этой проблемы — решением является выпиливание злокачественного файла, с попутным общением с техподдержкой sape.ru в надежде выйти на того, кто это соорудил.
По поводу банальности — хорошо, если для вас они являются таковыми. На разрабатываемых мною проектах такого пока не было. Уверен, что найдется отличное от нуля число разработчиков, которым такое никогда и не встретится.

Если вы уже сталкивались с чем-то подобным и исходя из своего опыта сможете предложить способы нахождения/закрытия дыр — не стесняйтесь оставлять советы.

[Arks]

да вы знаете, компьютер это такой черный ящик, почти как мишна Тьюринга… совершенно непонятно как посмотреть куда он там лезет и на какие сайты и зачем ходит. Можно даже подумать что компьютер живет какой-то своей жизнью а Вы, как несчастный разработчик, вынуждены расшифровывать какой-то мутный код написаный вирусней в архейскую эру :sarcasm:

[Niemand]

Погуглив как работает конструкция if…

[just_prepod]

А где обещанный криптоанализ? Тут только про обфускацию написано.

[DLag]

Простейший обфусцированный троянец, коих тысячи в день раскидывают скрипты автоматического взлома через популярные уязвимости, даже не бекдор.
Статья о том как вы узнали основы PHP.

[Funcraft]

Причём самые основы

[mubinov]

Новичок в php разбирает банальнейший код. мда. На вашем месте я бы всерьез задумался откуда там взялся троян, а не то как он работает, нашел бы уязвимость на сервере. да и в сапу неплохо было бы сообщить, дабы забанили хулигана.

[gag_fenix]

Не обязательно, что скрипт залили через уязвимость.
К сожалению, встречаются непорядочные разработчики, которые оставляют на всех разрабатываемых сайтах закладки для простановки ссылок и рассылки спама.

[Vitter]

Смотрим мануал php:
Взято отсюда: pcre modifiers
preg_replace("#x#e", ..); :
e (PREG_REPLACE_EVAL)

Предостережение
Использовать этот модификатор не рекомендуется, так как это может легко добавить уязвимости в системе безопасности
…
Приведенный выше код может быть легко скомпрометирован путем передачи такой строки как <h1>{${eval($_GET[php_code])}}</h1>. Это дает атакующему возможность исполнить произвольный PHP-код и по существу предоставляет ему почти полный доступ к вашему серверу.

[ohmytribe]

Грустно.