[Erledigt] PHP Hack - Include Parentdatei ermitteln

somjue · 26.12.2011, 15:24

Hallo zusammen

Folgende Ausgangslage: eine grössere Seite basierend auf Typo3 wurde gehackt und leitet gewisse Anfragen an "Medikamenten-Seiten" weiter. Die Seite hat über 300'000 Dateien auf dem Dateisystem, was eine analyse erschwert.

Ich habe nun eine Datei - nennen wir sie mal infected.php - gefunden. Wenn ich diese entferne ist der Hack weg. Nun will ich aber den kompletten Baum finden. Dazu benötige ich den Namen des Scripts, der die Datei aufgerufen hat. Das ist aber nicht die primäre Datei, die ich in den Umgebungsvariablen oder im URL-Request habe. Der Baum sieht also so aus:

index.php -> site1.php -> site2.php -> infected.php

index.php

PHP-Code:

  include("site1.php");

site1.php

PHP-Code:

  include("site2.php");

site2.php

PHP-Code:

  include("infected.php");

In der infected.php kann ich folgendes auslesen:

PHP-Code:

  echo $ENV["SCRIPT_NAME"]; // ergibt /index.php

echo __FILE__; // ergibt /path/to/infected.php

Wie aber komme ich an den Dateinamen der "site2.php", wo ich dann weiter zurückgehen könnte?

Danke für jede Hilfe!

Gruss und weiterhin schöne Festtage
Jürg

PS: Der Hacker hat auf Prüfsummen oder dergleichen vor dem Include verzichtet, d.h. ich kann in der "infected.php" beliebigen Code einbauen.

26.12.2011, 15:51

Vielleicht hilft das:
http://www.php.net/get_included_files

tr0y · 26.12.2011, 16:01

http://php.net/manual/en/function.debug-backtrace.php

somjue · 26.12.2011, 16:18

Vielen Dank für die schnellen Antworten. So einfach kann es sein...

Gruss
Jürg

Themen-Optionen
Druckbare Version zeigen Jemanden per E-Mail auf dieses Thema hinweisen
Thema bewerten
Thema bewerten:

Ähnliche Themen
Thema	Autor	Forum	Antworten	Letzter Beitrag
Arbeitspfad vor include korrigieren	vic	PHP Einsteiger	11	15.11.2011 16:27
[Erledigt] 2 Virtualhosts bei selber IP und Port	Thorus	Server, Hosting und Workstations	21	13.10.2011 15:37
PHP Include "Problemchen"	ichweissnix	PHP Einsteiger	1	28.06.2011 19:46
opensuse 11.3 apache2 kein php	horstschulz	Server, Hosting und Workstations	10	09.05.2011 12:03
Seite wird nur als Download angezeigt	great__F	PHP Tipps 2010	9	19.05.2010 12:30
[Erledigt] include mit automatischer Pfadauswahl	Benshy	PHP Tipps 2009	7	16.11.2009 22:47
Indexdatei/Template include von PHP	DarkOverride	PHP Tipps 2009	4	12.06.2009 14:18
Fehler beim kompilieren von php 5.2.9	malio	Server, Hosting und Workstations	11	05.06.2009 18:40
Formulare funktionieren nicht post kommt nicht an	ronaldl	PHP Tipps 2008	17	27.12.2008 07:46
include() ersetzen	Shadow21	PHP Tipps 2006	3	30.08.2008 14:13
hinter include wird eine 1 angezeigt	\|~Râdîant~\|	PHP Tipps 2008	8	19.09.2007 13:52
include Dateien wieder ausängen o.Ä.	netti	PHP Tipps 2007	8	17.12.2006 15:14
include problem	Canni	PHP Tipps 2006	26	14.11.2006 14:24
include, nur bestimmten teil neu laden	Calli	PHP Tipps 2006	2	27.01.2006 15:57
[Erledigt] Include liegt in einem anderen Verzeichnis - es geht nix		PHP Tipps 2005-2	3	03.07.2005 22:40

26.12.2011, 15:24
somjue Neuer Benutzer Registriert seit: 26.12.2011 Beiträge: 3 PHP-Kenntnisse: Fortgeschritten	[Erledigt] PHP Hack - Include Parentdatei ermitteln Hallo zusammen Folgende Ausgangslage: eine grössere Seite basierend auf Typo3 wurde gehackt und leitet gewisse Anfragen an "Medikamenten-Seiten" weiter. Die Seite hat über 300'000 Dateien auf dem Dateisystem, was eine analyse erschwert. Ich habe nun eine Datei - nennen wir sie mal infected.php - gefunden. Wenn ich diese entferne ist der Hack weg. Nun will ich aber den kompletten Baum finden. Dazu benötige ich den Namen des Scripts, der die Datei aufgerufen hat. Das ist aber nicht die primäre Datei, die ich in den Umgebungsvariablen oder im URL-Request habe. Der Baum sieht also so aus: index.php -> site1.php -> site2.php -> infected.php index.php PHP-Code: `include("site1.php");` site1.php PHP-Code: `include("site2.php");` site2.php PHP-Code: `include("infected.php");` In der infected.php kann ich folgendes auslesen: PHP-Code: `echo $ENV["SCRIPT_NAME"]; // ergibt /index.php echo __FILE__; // ergibt /path/to/infected.php` Wie aber komme ich an den Dateinamen der "site2.php", wo ich dann weiter zurückgehen könnte? Danke für jede Hilfe! Gruss und weiterhin schöne Festtage Jürg PS: Der Hacker hat auf Prüfsummen oder dergleichen vor dem Include verzichtet, d.h. ich kann in der "infected.php" beliebigen Code einbauen. Geändert von somjue (26.12.2011 um 16:20 Uhr). Grund: Frage wurde beantwortet.


Mister Ad PHP Code Flüsterer Registriert seit: 21.08.2005 Beiträge: 4682 PHP-Kenntnisse: Fortgeschritten

26.12.2011, 15:51
meikel Gast Beiträge: n/a	Vielleicht hilft das: http://www.php.net/get_included_files

26.12.2011, 16:01
tr0y Erfahrener Benutzer Registriert seit: 26.07.2010 Beiträge: 4.874 PHP-Kenntnisse: Fortgeschritten	http://php.net/manual/en/function.debug-backtrace.php __________________ Lasse mir ohne Anwendung von Gewalt Dinge schenken, Amazon weiß darüber bald mehr.

26.12.2011, 16:18
somjue Neuer Benutzer Registriert seit: 26.12.2011 Beiträge: 3 PHP-Kenntnisse: Fortgeschritten	[erledigt] PHP Hack - Include Parentdatei ermitteln Vielen Dank für die schnellen Antworten. So einfach kann es sein... Gruss Jürg