Sitio hackeado

[fher2010]

Saludos cordiales a todos lo amigos del foro:

Tengo un portal de noticias desarrollado en php con una bd en mysql, el problema es q algún gracioso (por no decir otra cosa) me hackeo el sitio .. no tengo idea como, pero cuando quice ingresar me salió una ventanita (obviamente creada con javascript) con un mensaje .. y el contenido del sitio lleno de caracteres ...

ingresé al server para revisar... analicé la bd y descubrí q se crearon infinidad de campos en las diferentes tablas llenas de basura ... así q estoy en la tarea de revisar y eliminar todo lo q está al dope creado ... incluso algunas de las imágenes q están en directorios del sitio fueron cambiadas por otras ... osea tengo un caoz total .. y no se por donde empezar .. ni como pudo darse el ataque....

para poder ingresar información al sitio dispongo de un módulo adm desde donde se ingresan las noticias, una por una .. así q dudo q alguien se hubiera dado el trabajo de ingresar desde allí cerca de 2000 campos en cada tabla de código basura ... Si fuera el caso de q alguien hubiera logrado descifrar alguno de los usuarios (2) y sus claves ...

no utilizo ningún administrador de contenidos .. el sitio fue creado desde cero ... espero q alguien pueda darme alguna idea de por donde empezar a revisar el tema de la seguridad de mi sitio .. por favor ...

gracias de antemano y suerte a todos ....

[rodrigo791]

empeza por acá www.google.com

http://php.net/manual/es/security.php aca tenes algo

http://php.net/manual/es/security.database.php

[fher2010]

Gracias Rodrigo por el interés ... comentarte q en lo q posteaba el mensaje y seguía revisando mi sitio .. encontré un archivo dentro del directorio raiz y del directorio del modulo adm .. con el nombre "error_log" ... me imagino q quien realizó el ataque colocó ese archivo .. aun no lo abro ni quiero meterme en mas problemas ... mañana se lo paso a un amigo q conoce algo del tema para q me de su punto de vista .. pero me preocupa encontrar archivos q no coloqué en mi sitio ...

parece q tendré noches bastante largas aprendiendo mas sobre este tema ...

gracias nuevamente ...

[alyciashape]

¿El servidor probablemente tenga copias de seguridad automáticas no?

[fher2010]

Iniciado por alyciashape

¿El servidor probablemente tenga copias de seguridad automáticas no?

Hola alyciashape ... efectivamente el server tiene copia de seguridad .. adicionalmente tengo un script q me realiza diariamente una copia de la bd y me la envía a mi correo ... aunq en esta ocación me realizó la copia con mas el código basura q me generaron ....

A manera de dar un poco de info para quienes les interese .. ya descubrí un par de vulnerabilidades desde donde posiblemente pudieron realizarme el hackeo ...

1 Por descuido no utilicé la función addslashes() en la consulta para el logueo de los usuarios del módulo adm

2 Como el sitio aún está en desarrollo... no terminé de subir todos los archivos .. fui subiendo de a poco a manera de probar y de a poco se fueron quedando ... pero no subí lo necesario y entre estos archivos omitidos .. no reparé en proteger los directorios para evitar q estos puedan ser listados ... asi q ya subí los respectivos 'index.html' vacíos en los directorios ...

3 A manera de mejorar la seguridad le estoy implementando el "molesto" pero necesario (jejeje) código de verificación al momento de autentificar un usuario ....

Seguiré trabajando en este tema .. a ver q otras cosas encontramos ....

Gracias nuevamente por la ayuda brindada y la sugerencias q puedan aportar ...

[fher2010]

Saludos nuevamente .... aún con algo de coraje por el ataque de ayer y trabajando sobre el tema de seguridad quería complementar para quienes estén en lo mismo... o les interese el tema ..
buscando encontré mucha información al respecto .. en particular me gustó este sitio http://phpbarcelona.org/files/phpwor...ckWeb-v1-4.pdf .. hay bastante info al respecto ...
También encontré q el uso de addslashes o stripslashes entre otros no es del todo útil .. aunq sirve ... de todas maneras me pareció interesante .. así como el utilizar una función para limpiar cadenas ... en este caso el usuario y password de los usuarios q se loguean a mi módulo adm ... con algunas modificaciones .. quiero compartir con ustedes esto .. a ver q opinan al respecto

Código PHP:

function filtro($cadena){
    $valor = str_ireplace("SELECT","",$cadena);
    $valor = str_ireplace("COPY","",$cadena);
    $valor = str_ireplace("DELETE","",$cadena);
    $valor = str_ireplace("DROP","",$cadena);
    $valor = str_ireplace("DUMP","",$cadena);
    $valor = str_ireplace(" OR ","",$cadena);
    $valor = str_ireplace("%","",$cadena);
    $valor = str_ireplace("LIKE","",$cadena);
    $valor = str_ireplace("--","",$cadena);
    $valor = str_ireplace("^","",$cadena);
    $valor = str_ireplace("[","",$cadena);
    $valor = str_ireplace("]","",$cadena);
    $valor = str_ireplace("\\","",$cadena);
    $valor = str_ireplace("!","",$cadena);
    $valor = str_ireplace("¡","",$cadena);
    $valor = str_ireplace("?","",$cadena);
    $valor = str_ireplace("=","",$cadena);
    $valor = str_ireplace("&","",$cadena);
    $valor = str_ireplace(".","",$cadena);
    $valor = str_ireplace(">","",$cadena);
        $valor = str_ireplace("<","",$cadena);
    $valor = str_ireplace("/","",$cadena);
    $valor = str_ireplace("-","",$cadena);
    $valor = str_ireplace("+","",$cadena);
    $valor = str_ireplace("'","",$cadena);
    $valor = str_ireplace(" ","",$cadena);
    return $cadena;
    }
 
if (isset($_POST['user'], $_POST['pass'])) {
    $usr = $_POST['user'];
    $pass = $_POST['pass'];
    $usuario=filtro($usr);
    $clave=filtro($pass);
//Y LUEGO VENDRÍAN LAS CONSULTAS RESPECTIVAS Y LOGUEO
}
 

Con esta pequeña función se elimina todo caracter que se me ocurrió podría ser parte de un código malicioso así como los espacios .. dando como resultado una única cadena alfanumérica ...

Espero opiniones ...

Salud2...