Webwurm

Beitrag von **workershop** » 28.01.2005, 11:39

Ich wollte mich gerade bei https://www.Online-Favoriten.de eintragen, aber auf der Eintragsbestätigungsseite und vielen Unterseiten kommt diese Meldung. Also hat es die auch erwischt.

This site is defaced!!!

--------------------------------------------------------------------------------

NeverEverNoSanity WebWorm generation 10.

Wie kann ich meine Projekte am besten gegen so etwas schützen? Gehostet sind wir ja bei 1und1.

Ronny

von **Anzeige von ABAKUS** »

Beitrag von **Boa** » 28.01.2005, 12:21

phpbb updaten auf 2.0.11 der Fix funktioniert nicht.

Beitrag von **fliper** » 28.01.2005, 12:38

jo, nur update auf 2.0.11 hilft, eine seite von mir ist während des jahreswechsel auch mehrmals defaced worden, seit dem update ist ruhe.

von **Anzeige von ABAKUS** »

Beitrag von **Metaman** » 28.01.2005, 12:41

das ist sicher kein Wurm

sondern in den meisten fällen ein User der sich eine Lücke im System zur nutze gemacht hat

sehr oft passiert das wenn mit unsauberen php Funktionen eine Datei oder Seite geladen wird.

beispielsweise wenn eine Seite mit dem Link aufgerufen wird
seite.de/index.php/xxx=abc.php
und dann im Code der index.php steht
include("$xxx");

denn dann kann man ohne probleme diese Index aufrufen und statt dem abc.php eine komplette URL eintragen. also man kann damit auch ein Script von einem anderem Server laden, das dann auf dem eigenen Ausgeführt wird.....

Beitrag von **derHund** » 28.01.2005, 13:01

das ist sicher kein Wurm

nein, es ist ja auch nicht so, daß mehrere würmer kursieren würden, die es auf das phpbb < 2.0.11 abgesehen haben, entweder um die lücke zu schließen oder sie auszunutzen. nein.

Beitrag von **Christophe** » 28.01.2005, 13:13

Ich habe zusätzlich in meiner httpd.conf

Code: Alles auswählen

# Wurm Attacken 12/04
RewriteCond %&#123;QUERY_STRING&#125; .*esystem.* &#91;OR&#93;
RewriteCond %&#123;QUERY_STRING&#125; .*echr.* &#91;OR&#93;
RewriteCond %&#123;QUERY_STRING&#125; .*passthru.* &#91;OR&#93;
RewriteCond %&#123;QUERY_STRING&#125; %70%61%73%73%74%68%72%75
RewriteRule .* - &#91;F,L&#93;

zu stehen, das sollte viele Attacken abwehren.

Gibt es eigentlich eine Möglichkeit, mod_rewrite URLs dekodieren zu lassen? Dann wäre mein Filter deutlich schwerer zu umgehen.

Beitrag von **workershop** » 28.01.2005, 13:56

Dann ist also der Wurm über das Forum gekommen bei denen. Die Footerlinks von denen Werben | Über uns | Kontakt| LinkTausch | Presse sind alle mit der Meldung.

Mein Forum ist die Version 2.0.11 - erst 2 Wochen alt. Müsste eigentlich sicher sein.