sito hackerato

[boots]

Ciao a tutti,
Non so se è la sezione giusta, in caso chiedo venia...
Ho realizzato diversi siti con il framework cakephp (PHP 5.3) che in questi giorni son caduti vittima di una attacco. In pratica in molti file php è stato aggiunto:

<?
                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                       Codice javascript che     
Aggiunge un iframe che porta a  un sito russo  nypmivhy                                                                                                                                                                                                                                                   .

?>

Oltre alla modifica dei .htaccess.

Inoltre in alcuni di essi si trova un file default.php con

<? eval(gzinflate(un sacco di codice codificato)) ?>

Secondo voi quale è la vulnerabilità usata? Mi sembra strano che sia dovuto a php, visto che non ha i permessi per modificare i file (di fatti devo dargli i permessi per la catella tmp)

Qualche indizzio?

[neroux]

Direi che sia piuttosto improbabile che sia una vulnerabilità di PHP. Credo che sia oppure CakePHP (quale versione usi?) oppure qualche bug nel tuo codice (l'hai sviluppato tutto tu o è basato su qualcos'altro?).

[boots]

Ciao, la versione è un po' vecchia (la 1.3) il codice è fatto da me seguendo la guida di cakephp.

Cmq, mi sembra strano che sia dovuto a cake...anche se il tizio sia riuscito ad eseguire del codice malevolo, come ha fatto a modificarmi i file visto che php non ha i permessi per scriverli ?

[lucavizzi]

Potrebbe essere che tu abbia un virus sulla tua macchina, l'hacker avrebbe le password FTP...
(Non è che hai usato crack o keygen? )
Oppure le password erano "deboli", facili da individuare.
Prova a fare una scansione e cambia le password.

[boots]

Probabile...
E' possibile che qualcuno si sia intrufolato sul una macchina (il mio pc usa linux) e ha rubato le pass da filezilla, visto che ha le password sono in chiaro

I siti sono quasi esclusivamente su aruba.