bootstrap(index.php)"viagra"hack

Question

我们服务的大多数网站都已关闭,解析了index.php文件中的错误.查看该文件,我们之前版本的文件前缀为:

<?php @register_shutdown_function("__sfd1260709780__");function __sfd1260709780__() { global $__sdv1260709780__; if (!empty($__sdv1260709780__)) return; $__sdv1260709780__=1; echo <<<DOC__DOC

<!-- [7a61f37a57877a02feb836559e68fd46 --><!-- 0879070621 --><a href="javascript:document.getElementById('block25').style.display='block';" title="more"> </a><div id="block25" style="display:none"><ul><li><a href="http://florijani.com/verzija15beta/?qsa=5">took 100mg intagra</a></li><li><a href="http://florijani.com/verzija15beta/?qsa=49">where can you buy silagra cheap</a></li><li><a href="http://florijani.com/verzija15beta/?qsa=25">where can i get real generic viagra</a></li><li><a href="http://florijani.com/verzija15beta/?qsa=27">silagra suppliers in india</a></li><li><a href="http://florijani.com/verzija15beta/?qsa=9">silagra online sales</a></li><li><a href="http://florijani.com/verzija15beta/?qsa=45">cheap uk vigora</a></li><li><a href="http://florijani.com/verzija15beta/?qsa=40">discount generic intagra online</a></li><li><a href="http://florijani.com/verzija15beta/?qsa=19">discount viagra 10 pack generic</a></li><li><a href="http://florijani.com/verzija15beta/?qsa=43">how to buy viagra online</a></li><li><a href="http://florijani.com/verzija15beta/?qsa=34">generic vigora overnight</a></li><li><a href="http://florijani.com/verzija15beta/?qsa=24">generic viagra information</a></li><li><a href="http://florijani.com/verzija15beta/?qsa=22">generic viagra perception</a></li></ul></div><!-- 7a61f37a57877a02feb836559e68fd46] -->

DOC__DOC;

} ?>

<?php @register_shutdown_function("__sfd1260623256__");function __sfd1260623256__() { global $__sdv1260623256__; if (!empty($__sdv1260623256__)) return; $__sdv1260623256__=1; echo <<<DOC__DOC



DOC__DOC;

} ?>

<?php @register_shutdown_function("__sfd1260513491__");function __sfd1260513491__() { global $__sdv1260513491__; if (!empty($__sdv1260513491__)) return; $__sdv1260513491__=1; echo <<<DOC__DOC



DOC__DOC;

} ?>

并附上,

<?php error_reporting(0); echo "\n"; @__sfd1260513491__(); ?>

<?php error_reporting(0); echo "\n"; @__sfd1260623256__(); ?>

<?php error_reporting(0); echo "\n"; @__sfd1260709780__(); ?>

有没有人遇到过这个？

(我也在脚本中看到了很多关于伟哥剂量的建议.)

Answer 1

看起来有人对您的PHP文件夹具有root访问权限.他们使用机器人遍历它,取代现有内容以终止PHP服务功能,并将其替换为用于伟哥添加的回声HTML页面.

可能想要查找之前未见过的用户帐户,并从源代码恢复脚本.查找不经常使用的管理员帐户,可能仍然有默认密码.

否则,机器人最有可能在内部网络上访问根文件夹.