Помогите найти уязвимость php

Question

[Evgeny Ilin]

Привет всем!
Подскажите, пожалуйста, где найти описание уязвимость php, при котором можно было просмотреть содержимое php-файла?
Искал до двух ночи, замучался. Помню, что на хабре статья была.
ps. помогаю товарищу со взломанным сайтом. Эксполиты вроде удалил, но зараза все равно появилась снова. Пишется в базу как будто из админки. У меня есть подозрение, что каким-то образом получает параметры подключения в config.php (движок кто-то писал самостоятельно, поэтому этот файл пока доступен извне, уже переделываю, но интересно).

Answer 1

[Alexander]

В более менее нормальной системе, невозможно писать в БД, даже зная логин пароль, так как указывается при подключении к БД ip адрес конкретного сервера(ов).

Угу. Только вот большинство сайтов крутятся на хостинг площадках, а не на ВДС/ВПСах у владельцев сайтов.
Зная логин и пароль к БД:
1. Смотрим по вхъюсам, куда ссылается домен (НСы). В 99% это будет хостер.
2. Заходим на хостинг, смотрим фак как добраться до пхпмайадмину(если майскул). В 98% ссылка на него будет в свободном доступе от самого хостера. Или будет гуглитсмя за 3 минуты.
3. Делаете в базе что хотите.

Comments

[betal]

Да, это хорошее замечание.

Answer 2

[lubezniy]

Хостинг виртуальный, VPS или физический сервер?

Comments

[Evgeny Ilin]

Виртуальный. Стукнулись в саппорт, но там молчат, хотя админы из моей компании говорят, что могли и сервер рутнуть, поэтому сейчас хоть зачистись — эффекта может не быть.

[betal]

Для виртуального часто может не быть разделения среды между пользователями. По крайней мере вероятность этого намного выше чем если бы рутнули сервер, да и если бы рутнули сервер в 99% случаев это лежало бы в логах.

Answer 3

[betal]

Это также может быть sql инъекция и много чего еще… Чтобы знать наверняка нужно пару часов погонять через grep логи…
В более менее нормальной системе, невозможно писать в БД, даже зная логин пароль, так как указывается при подключении к БД ip адрес конкретного сервера(ов). Разрешать доступ отовсюду в 99% нет необходимости.

Comments

[betal]

Если были шелы, нет вероятности что Вы удалили их все, тот же шел может занимать и 12 байт… Молчу о различного рода кодированиях… Поэтому опять же логи, правильные поля на файлы, просмотр последних изменений в файлах сайта по дате, системе контроля версий, мд5 суммам и т.д. и т.п.