Shop gehackt/Sicherheitslücke?

[dr.mawuse]

Hi Leute,

ich habe Kenntnis von einem Shop, der sehr wahrscheinlich gehakt worden ist.
Es handelt sich um xt:Commerce v3.0.4 SP2.

Was ist passiert?

Im Titel der Site steht nun H@cked by H@patit und zwar vor dem eigentlichen Titel.
Weiterhin wurde dies eingetragen in die Felder Name des Shops, Inhaber und Telefon, was über das Backend einsehbar war, soll heißen, es stand definitiv in der Datenbank und nicht etwa in einer Cache-Datei des Frontends (was allerdings etwas angenehmer gewesen wäre).

Wenn man danach googelt, bekommt man lediglich gehakte Shops aufgelistet, auch viele Shops der Version v3.0.4 SP2.1.

Es gibt kaum(derzeit keinen) Eintrag zur Nennung/Behandlung des Problems in einem Forum oder so. Vielleicht ist dies erst die Tage aufgetreten?

Hat jemand Kenntnis hiervon, Tipps, Tricks, Hinweise oder gar selbst festgestellt?

[xt:mzanier]

Dies betrifft derzeit nur ungepatchte SP1 und Sp2.1 Versionen.

Fälle von aktuellen Sp2.1 Versionen mit Sicherheitspatches sind uns derzeit nicht bekannt.

Wir empfehlen (schon seit über einem Jahr) dringende Updates auf aktuelle Versionen.

[DavidHustlehoff]

Unser Shop und weit mehr als 1000 wurden weltweit gehacked...

Hier die Meldung:
http://www.cytracon.net/2009/04/20/hacked-by-keremhan/

Hier eine Liste der Shops:
http://www.zone-h.org/archive/defacer=KEREMHAN

Ich kann bisher noch keine schädliche Datei auf unserem Server finden, wäre über Hilfe mehr als erfreut...

Shopsystem ist v3.0.4 SP2.1

[redmedia]

Habe das selbe Problem mit einem Kundeshop. Hat wer eine Lösung bzw. weiss jemand was genau gehackt wurde bzw. welche Dateien Betroffen sind?

[DavidHustlehoff]

Hier ist auch einiges erklärt:

http://www.*************************...op-systeme.php

Leider oder Gott sei Dank kann ich keinen Shell Zugriff feststellen und bei mir war nur die Index Seite geändert. Trotzdem muss KEREMHAN Adminzugriff gehabt haben?!

Bloß wie...? Jedenfalls nicht wie oben beschrieben?!

[redmedia]

habt ihr evtl. amicron installiert? das script wurde auf unserem server extrem aof aufgerufen?

[DavidHustlehoff]

Nein nichts dergleichen. Ich hab mal das Sicherheitsupdate vom 20.11.2008 aufgespielt evtl lag es daran?

[xt:mzanier]

Zitat von DavidHustlehoff

Nein nichts dergleichen. Ich hab mal das Sicherheitsupdate vom 20.11.2008 aufgespielt evtl lag es daran?

ja, ohne sicherheitspatch ist klar das eine lücke ausgenutzt werden konnte.

Dafür gibt es schließlich Sicherheitsupdates.

[DavidHustlehoff]

Zitat von mzanier

ja, ohne sicherheitspatch ist klar das eine lücke ausgenutzt werden konnte.

Dafür gibt es schließlich Sicherheitsupdates.

War diese Sicherheitslücke für den Angriff und die Änderung der Index Seite verantwortlich? Bzw. ist es damit möglich gewesen?

[xt:mzanier]

Zitat von DavidHustlehoff

War diese Sicherheitslücke für den Angriff und die Änderung der Index Seite verantwortlich? Bzw. ist es damit möglich gewesen?

war damit möglich ja. (sqj injection).