Σε συνέχεια προηγούμενου post. Ανακοινώθηκε επείγον update για το Coppermine Gallery που διορθώνει το κενό ασφαλείας που εκμεταλλεύθηκαν για τη χτεσινή επίθεση. Από ότι καταλαβαίνω από τον κώδικα, έχει να κάνει με τον έλεγχο του τύπου αρχείου που γίνεται upload.
Σε περίπτωση που η σελίδα σας είναι χακαρισμένη, πρώτα διορθώστε όλα τα προβλήματα και μετά προχωρήστε στο update. Σε πρώτη φάση αυτό που έκανα εγώ είναι μια αναζήτηση (και διαγραφή!) σε όλα τα αρχεία του gallery για το string που είχε γίνει inject στο τέλος τους.
Από τα φόρουμ του Coppermine, συνιστάται:
Basic procedure (to give you a general idea what you’d need to do):
- Make a full backup of all files and folders on your webspace
- Replace all possibly infected files with fresh ones that are guaranteed to be clean (from a fresh package)
- Scan the files and folders you downloaded for executable files: PHP, Perl files, bash scripts, whatever the user could have left (depending on the skills of the attacker) and delete all of them on your webspace (the tricky part being that you need to really find all backdoors)
- Browse the database, coppermine’s user table. Search for admin accounts. Delete all that you don’t know. Change the password of your own admin account
- Change all seurity-sensitive passwords (for FTP access, website control panel, mySQL) and reflect your changes in the apps you use (changed mySQL account!)
- Tell your webhost about the attack. Ask them to see the server logs for the period where the attack has happened
christos :: webhome 