Hallo zusammen,
ich bin Administrator einer kleinen Vereinsseite.
Dort ist nun das Problem aufgetreten, dass anscheinend Schadcode direkt in den Quellcode der Seite plaziert wurde. Denn immer wenn ein Besucher über Google die Vereinsseite besuchen möchte, wird er auf eine dubiose Seite weitergeleitet mit der Endung . pl. Ruft man die Homepage direkt über die Browsereingabezeile auf funktioniert alles ordnungsgemäß.
Ich hab mich daraufhin auf der Suche nach dem bösen Code gemacht und bin auch prompt in der index.php des verwendeten Templates fündig geworden. Dort steht massenweise verschlüsselter Base64 Code drin. Das ganze sieht so aus.
HTML-Code:
<?php eval(base64_decode("..."));
defined( '_JEXEC' ) or die( 'Restricted access' );
JPlugin::loadLanguage( 'tpl_SG1' );
?>
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml" xml:lang="<?php eval(base64_decode("...")); echo $this->language; ?>" lang="<?php eval(base64_decode("...")); echo $this->language; ?>" >
<head>
<jdoc:include type="head" />
Entschlüsselt sieht einer der Blöcke so aus:
Da wird deutlich, dass es sich um den besagten Schadcode handelt.
Mein jetziges Problem besteht allerdings da drin, dass die böse Umleitung nach wie vor aktiv ist, auch wenn ich den gesamten Schadcode aus der Index.php lösche. Daher vermute ich, dass noch an einer anderen Stelle ähnlicher Code vorzufinden ist.
Kennt jemand vielleicht diese Art von Injection und kann mir weiter helfen?
LinkBack URL
About LinkBacks
SQL Injection - Umleitung über Google auf Schadseite
Zitieren
Zitat von Voeltschi
Lesezeichen