Взлом TradePulse

Уважаемые АВМы, рекомендую проверить на серверах наличие файла inc_js.php - пхп шелл, который мог появится на сервере вследствие обновления трейдпульса.
искать можно так:
locate inc_js.php
или
cd /PATH/TO/WEB/CONTENT
find ./ -name inc_js.php

если есть - то желательно отписать в личку, нам нужно собрать инфо по взлому.

У меня не нашло.
А в каком смысле "вследствие обновления"?

Нужно удалить файлы, заменить filter.php, updater.php из свежего инсталла.

желательно предоставить нам аксес логи фронтенда.

если на сервере небыло защиты ssh/ftp/админок - проверить версию ssh

25го августа нас 'обновили'. Кто успел обновится в это время, получил filter.php с подгрузкой какой-то рекламы, + пропатченный апдейтер, который не обновлял filter.php.

Чтобы исправить ситуацию, пострадавшим надо скачать updater.zip, и залить его содержимое в папку /tp/

Завтра я планирую выложить 30й апдейт, в котором:
1. Все файлы для апдейтов будут браться из амазоновского хранилища S3, доступ к которому есть только у меня. То есть подсунуть фейковые файлы для апдейта злоумышленникам будет невозможно.
2. Автоматически убьется файл tp/inc_js.php, если он есть. Есть он далеко не у всех, логика его выборочного появления мне не ясна.

Найти пидора который влез на наш сервер пока не получается, следы ведут на сервер cgi.bz (хостится на русском хостинге), и к партнерке с акком http://www.clayaim.com/index.php?ref=webex
Абузы отписал, но что толку от них...

Kildoozer писал:

Найти пидора который влез на наш сервер пока не получается, следы ведут на сервер cgi.bz (хостится на русском хостинге), и к партнерке с акком http://www.clayaim.com/index.php?ref=webex Абузы отписал, но что толку от них...

О, знакомые лица.

(Лечение!) Ахтунг атакуют топы или дыра GB Top


.

Kildoozer:
Была бы крайне полезна утилита для проверки хешей файлов.

Если бы только inc_js... Реально рекомендую поставить чистую инсталляцию в отдельную папочку, а потом сравнить рабочую диру tp с чистой:

$ diff -qr /path/to/clean/tp /path/to/working/tp | grep php

Там целый зоопарк, нахрен. А я, дурак, это говно покупать собирался.

год на пульсе сидел. попрощался после очередного апдейта, когда вставка инклюда, что через хтассес, что напрямую в страницу на двух разных серверах начала давать серьезные тормоза при отрытии сиджа с любого адреса(страны).
протон, кстати этим не начал страдать, не смотря на апдейт, но если бы килдозер вместо плакаться о том, что протон его личный продукт и ему его интересней продавать, чем пульс, хоть немного довел его до современных реалий - лучший трейд-скрипт был бы.

Kildoozer это не коснулось Progress или Proton ?

вроде нет

Ara Man: это ты так думаешь
а я уже сношу все

100% нет

Протон и прогресс расположены каждый на своем сервере, и взломаны НЕ БЫЛИ.
Взломали (в августе) сервер моего партнера по Трейд-пульсу. Сразу же после этого я перенес все файлы пульса на амазоновское хранилище S3, то есть в данный момент угрозы повторного взлома быть не может никак.

Весьма вероятно что у вас остались пхп-шеллы с прошлого взлома, кроме того мы считаем что опять взломана структура апдейтов proton/progress/TP/SP/ещечегототам.

как временное решение (для неаврального перехода на другие скрипты ) - отключение функций
disable_functions = "popen,exec,system,passthru,proc_open,shell_exec" ...

но часть функционала скриптов может нарушится, а включение open_basedir в данном случае никак не поможет.

Для быстрого обнаружения подмены - мониторить аксеслоги на предмет айпишника из сети 109.201. (или просто заблокировать доступ), и менять на кристалл трейдер (привет разрабам!)

Soft-Com писал:

Для быстрого обнаружения подмены - мониторить аксеслоги на предмет айпишника из сети 109.201. (или просто заблокировать доступ), и менять на кристалл трейдер (привет разрабам!)

А можно поподробнее как это сделать?

Кстати да, 109.201.

Soft-Com писал:

Весьма вероятно что у вас остались пхп-шеллы с прошлого взлома, кроме того мы считаем что опять взломана структура апдейтов proton/progress/TP/SP/ещечегототам.

У нас НИЧЕГО не осталось из бяки. Все обращения со стороны админок за новыми файлами идут исключительно на амазон, там все чисто и подмены файлов быть не может технически. Повторюсь, это относится только к пульсу, протон и прогресс никак не пострадали так как находятся на наших собственных серверах.
Если что-то и осталось, то на серверах пользователей, и я сам, лично, вычищаю серверы клиентов по мере обращения ко мне с такими просьбами.
Если разом вычистить все шеллы с сервера и обновить копии пульса до последней версии - ничего больше не появится. Никакого 'взлома структуры апдейтов' нету уже 2 месяца как.

еще раз, что саппорту дедика отписать, чтобы глянул есть ли эти пхп-шеллы старые ? у меня пульс, вроде небыло ничего подозрительного.

проверяйтесь ребята, нам два дня делали подмены файлов, меняли in.php стрима, инклудили свое говно в темплейты линкорганайзера и т.д.

Млин, дык что конкретно проверять? Тут уже и in.php стрима появился...
Какая симптоматика?

Kildoozer:
Я хотел бы напомнить, что два года назад я нашел XSS в форме заявки на трейд, о чем сообщил по аське. Это было закрыто через полгода, хотя проблема лечилась добавлением одной функции в обработку параметра. Теперь взломали сервер обновлений (!). Все это говорит об абсолютно наплевательском отношении к безопасности, причем появление XSS в скрипте, в котором только одна форма, это 3.14здец полнейший.
Нет никаких гарантий, что "ничего больше не появится". Я, конечно, восхищен, что скрипт "уже 2 месяца как" не ломали, но на фоне такого урона репутации еще и в два раза повышать процент отобранных кликов - это просто супер.

DrumNBreaks:
Кстати спасибо, в стрим тоже положили %)

CraZ:
Поставь на новый домен чистый пульс, а затем сравни директории чистого и проверяемого на предмет файлов php,phtml итд, которых нет в чистой установке.

CraZ писал:

еще раз, что саппорту дедика отписать, чтобы глянул есть ли эти пхп-шеллы старые ? у меня пульс, вроде небыло ничего подозрительного.

Есть несколько файлов, которые чаще всего используются для шеллов. Причем рсполагаются они вне папки tp:
.php (без имени)
crond.php - обычно лежит в папках внутри 'st'
ssi.php - аналогично.
Но, как сами понимаете, могут использоваться и другие имена файлов. Особенности:
1. имя *.php - это понятно
2. содержит либо eval(base64_decode( во второй строке,
3. либо зазенденый файл, ищите подстроку halt_compiler(),
4. либо закрытый ионом, ищите к примеру _il_exec

В пульсе есть сканер файлов, который проверяет ВСЕ *.php файлы внутри tp на принадлежность к скрипту и на соответствие чексуммы файлов последней версии.

Barkley писал:

Млин, дык что конкретно проверять? Тут уже и in.php стрима появился... Какая симптоматика?

вот как было у меня: если вы недавно делали апдейт стрима и обнаружили что он снова просит апдейта и апдейтится только один файл in.php значит это попадос.
причем со своего нидерланд айпи на сайте не было ничего подозрительного. подсказал один из трейдеров, он обнаружил редирект для американского айпи, за что ему было сказано спасибо
ну это один из случаев. какие еще скрипты могут поломать хз

Мне клали еще phtml.

будем смотреть, пока не понятно почему не горит надпись что можно обновиться, стоит Version 1.0.6 build 35 а уже новых смотрю куча

видимо по этому? над ставить на сервак это ?)
This build can't be installed because you haven't latest IonCube Loader installed on the server