Dringend - Hackversuch?

hoi,

ich habe mir die seite mal angesehen. es handelt sich mit großer wahrscheinlichkeit um eine sicherheitskritische seite!
schau bitte mal in deinem %tmp%-ordner ob du eine datei namens vcok.xpp dort findest! falls ja, bitte umgehend entfernen (am besten per av in quarantäne verschieben lassen und zum hersteller senden).

greetz, me

habe mir die anderen xpp dateien auch mal angeschaut.

die ziehen die vcok.xpp herunter welche dann ein backdoor-shell-skript via perl ausführt, und eine backdoor einrichtet.
du solltest auf deinem server mal das tmp verzeichnis begutachten (nicht lokal -> sorry mein fehler)!

falls du bei einem großen hoster bist, musst du dir nicht zwingend sorgen machen, der sollte solche skripte eigentlich heraus filtern.

man kann in der htaccess auch komplette domains sperren.

#unter 
order allow, deny
deny from .domain.de
#auch ip ist möglich:
deny from 10.10


allow from all

guckst du hier

greetz, me

hoi,

es kommt immer darauf an was man absichern will. ein ids (instrusion detection system) ist grundsätzlich eine gute idee, aber die leistungsfähigkeit solcher id-systeme differiert eben.
für standard (script-kiddy) attacken, ist phpIDS denke ich eine gute idee. ABER: 100% sicherheit wirst du NIE erreichen.
klar kann man dem angreifer seinen weg zum glück (oder zum root ) mit verschieden mitteln erschweren (IDS, DMZ, firewall, etc.), aber vor vermeintlich banalen techniken wie social-engeneering können auch diese mittel nicht schützen!

zu deiner frage, bezüglich des filterns vom SERVER_-array:
"leider" benötigt eine normale php-webware diese variablen um vernünftig arbeiten zu können. soll heissen, wenn man anfängt diese variablen zu "beschneiden", wird die grundsätzliche funktionalität sehr, bis zu stark eingeschränkt. ergo, keine gute idee.

sicher wird ein echter hacker/spider/cracker/was-weiss-denn-ich nicht immer mit der selben ip durchs netz "geistern", allerdings sind solche seiten wie die die versucht hat bei dir ihre vcop.xpp (intern ein perl. bzw shell-script), hochzuladen, relativ einfach über die .htaccess filter-, bzw. blockierbar.
problem hierbei ist nur das es eine menge solcher seiten im netz gibt, d.h. es wird via htaccess schwer bis unmöglich.
besser wäre da eben ein lernfähiges ids, welches eine blacklist anlegt und angreifer seiten/ips stetig erweitert (ähnlich dem verhalten von ipcop).

die entscheidung obliegt also bei dir und den möglichkeiten die dir dein hoster zur verfügung stellt.

greetz, me