Wo ist der Hack versteckt?

Der Schadcode kann in der Datenbank liegen und in einer beliebigen Text- oder Binärdatei. Darüber hinaus kann der Angreifer auch deine Passwörter kennen und Schadsoftware auf deinem Rechner laufen haben.

Zitat von chris1

- Sieht ein normales Virenprogramm, ob sich der Hacker auf meinem Rechner eingenistet hat?

Kommt auf den Schädling an. Wenn das Programm auf dem aktuellen Stand ist, dann hast du hier gute Chancen.

Zitat

- Mit welcher Freeware kann ich en masse denselben code aus verschiedenen php Dateien eines Verzeichnisses abändern?

Schon schwieriger. Es gibt sehr viele Möglichkeiten, Schadcode zu verstecken: base64_decode(), eval(), gzdecode(), unserialize() … aber auch ein unscheinbares include($harmlos) kann das Einfallstor sein. Und natürlich kann all das auch rückwärts im Text stehen, was das Auffinden noch ein bißchen schwerer macht.

Wenn man den richtigen Code versteht, sieht man die Einschleusungen. Wenn nicht: Alles neu besorgen.

Zitat

- Wenn der hackcode in der Datenbank ist, reproduziere ich den Code nicht, wenn ich alles neu aufsetze nach Export und Import?

Ja, die Gefahr besteht. Deshalb muß auch die DB gereinigt werden, sonst fängst du in drei Wochen wieder von vorne an.

Gruß
Thomas

Ich finde den besten Tipp von toscho ist seine Signatur. Ich kann mich seinen Schlussfolgerungen in seinem Blog nur anschließen. Daraus zitiere ich:

Zitat

Wenn du dich in der Programmiersprache nicht sattelfest fühlst, die deine Website antreibt, oder sonst kleine Zweifel hast: Verpflichte jemanden, der sich auskennt. Nicht den Nachbarssohn, der Informatik studiert, oder den »günstigsten Anbieter«, sondern einen Profi, der für seine Arbeit haftet.

Ich denke, genau das solltest du tun, wenn Du Dich unsicher fühlen solltest. :-)
Edit:
Offenbar scheint der Spammer sein Handwerk zu verstehen. Ich hatte in den letzten drei Wochen einige Spam Kommentare mit exakt dieser URL:
http://www.medbox24.com/group.php?grou…www.c-salsa.com

Hast du auch Spam Kommentare mit diesem Link bekommen, bevor du gehackt worden bist? Ich frage nur aus Interesse, da mir das aufgefallen ist.

google nach "suche und ersetzen"

Zitat von chris1

Welche Freeware ggf. html-Editor gibt es um "en masse", pro Verzeichnis, die Hackercodes rauszuschmeißen?

Unter Windows halte ich PSPad für recht brauchbar. Das kann in mehreren Dateien zugleich suchen und ersetzen, auch in Binärdateien. Regex versteht es auch einigermaßen.
Unter Linux rockt natürlich Emacs.

Nur fürs Protokoll: Ich habe ein flaues Gefühl bei dem Gedanken, daß du das trotz deiner Unsicherheit selber machst. Ich verstehe, daß du kein Geld ausgeben willst, und ich möchte hier auch nicht für mich werben. Aber kennst du nicht einen PHP-Freak, mit dem du einen Gefallen tauschen kannst?

Zitat von chris1

es ist bei allen php-Dateien immer wieder derselbe Code, der hiermit anfängt: eval(base64_decode

Das ist der Teil, den du finden sollst. Interessanter ist ist der andere Teil, durch den der Angreifer wieder hereinkommt.

Gruß
Thomas

Nicht die Lösung aber der Weg

Seit Dez. ist ein masiver Hackangriff auf Wordpress blogs der nicht ganz einfach zu bremsen ist troz mehrfacher Update und überspielungen war er wieder am werke ...

Wie kommt man auf die Spur wo sind Datein versteckt

In den Meisten Fällen wird in die PHP s ein Code eingefügt der so in der Art

<?php /**/eval(base64_decode('aWYoZnVuY3Rpb25fZX.....

anfängt er ist in jeder PHP datei zufinden das ist der eigentliche schlüssel zum finden des eigentlichen übeltäters
den Codierten Teil mus man decodieren also was in den " " steht
kleine Hilfe geht damit
http://www.functions-online.com/base64_decode.html
Danke an das Team von PHP.de
Weil hier wird man ja leider allein gelassen.

nach dem decodiren findet man einen Paht zum übeltäter
der sehr in der Verzeichniss tiefe versteckt ist er ist auch codiert
was noch zu weiteren codierten Datein führt ich habe insgesammt 10 Datein gefunden die mit dem Hack zusammen stehen die müssen alle beseitigt werden

Danach kann man an die säuberungen der Skripte gehen
Eine Totallöschung wer das beste aber meist nicht möglich
so mus mann in Sauren Apfelbeisen und in jeder PHP den aktiv Start Code löschen.

Achtung nicht die themes vergessen.

auch die php3 php4 datin html datein prüfen hab den code auch schon da drin gesehen

Weiter Infos könnt ihr über mich bekommen weil Datei namen und so will ich hier nicht veröffentlichen ....

gruß Uwe

Zitat von Heinrich-Uwe

n den Meisten Fällen wird in die PHP s ein Code eingefügt der so in der Art

PHP

<?php /**/eval(base64_decode('aWYoZnVuY3Rpb25fZX.....

anfängt er ist in jeder PHP datei zufinden das ist der eigentliche schlüssel zum finden des eigentlichen übeltäters

Nein, das ist nur das Resultat. Die wirklich gefährlichen Sachen sehen bei Weitem nicht so trivial aus.

Zitat

Danke an das Team von PHP.de
Weil hier wird man ja leider allein gelassen.

Was haben die Betreiber der Seite php.de mit der Sicherheit deiner Website zu tun? Dafür bist nur du verantwortlich, niemand sonst.

Zitat

Eine Totallöschung wer das beste aber meist nicht möglich

Was man meistens nicht komplett löschen kann, ist die Datenbank. Alles andere stellt man aus sicheren Backups wieder her, oder man bezieht es direkt von der Quelle. Das ist der Normalfall.

Zitat

auch die php3 php4 datin html datein prüfen hab den code auch schon da drin gesehen

Normalerweise wird richtig böser Schadcode nicht in Dateien mit der Endung php(3|4|5) versteckt, sondern in vermeintlichen Bildern wie ›harmlos.png‹. Die müssen alle vor dem Weiderverwenden gründlich geprüft werden, sonst fängt man zwei Wochen später von vorne an.

Zitat:
Zitat von Heinrich-Uwe [Blockierte Grafik: http://forum.wordpress-deutschland.org/images/buttons/viewpost.gif]
n den Meisten Fällen wird in die PHP s ein Code eingefügt der so in der Art
Code:
<?php /**/eval(base64_decode('aWYoZnVuY3Rpb25fZX.....

anfängt er ist in jeder PHP datei zufinden das ist der eigentliche schlüssel zum finden des eigentlichen übeltäters

Nein, das ist nur das Resultat. Die wirklich gefährlichen Sachen sehen bei Weitem nicht so trivial aus

Richtig ich habe je nur die stelle gezeigt wie man ihn erkennen kann

Klar ist jeder für die sicherheit selbst verantwortlich aber wen schon die sicherheitslücken so gut beschrieben werden das sie genutzt werden

der Wurm
Der Wordpress-Wurm der im September und Oktober sein unwesen trieb hat genau dies ausgenutzt und eval() in die Permalinks eingebaut wurde.

War ja bekannt die lücke wurde ja ausreichend beschrieben ...

die Leuts von php.de haben mir geholfen den übeltäter aufzuspüren ... sorry hier kammen nur sprüche ..

in der .htaccess versteckt.
Wenn diese falsche rechte hatte passiert das.

Dir ist aber aufgefallen, von wann der Thread ist.