Neu Shop Exploit / Hack / JS Injektion Bestellabschluss Vorkasse Iframe Zahlungsumleitung

[webgreat]

Ich habe hier ein Exemplar. Da wurde ein Script injected in der DB in Tabelle tboxsprache in eine Footer Box.

find /var/www/vhosts/xxxx/logs/ -type f \( -name "* log*" -o -name "*.gz" \) -print0 2>/dev/null \
| xargs -0 zgrep -HnE 'POST .*/admin/emailvorlagen\.php' 2>/dev/null

1: Admins haben alle 2FA aktiviert
2: Kein Eintrag in trevision für die Footer Box
3: Keine geänderten Files
4: Files in Summe keine Auffälligkeiten
5: offensichtlich nicht über die Sicherheitslücke gekommen emailvorlagen ..
6: DB Server von außen nicht erreichbar

Ideen?

 

[NoOne]

offensichtlich nicht über die Sicherheitslücke gekommen emailvorlagen ..

Wie kommst du darauf? Das wird mit ziemlicher Sicherheit über diese Lücke passiert sein, weil sie nicht rechtzeitig gepatcht wurde.

Edit: Ein POST auf /admin/emailvorlagen.php ist hier unerheblich dafür ob die Lücke genutzt wurde. Das ausspähen der Daten und der RCE kam durch entsprechend manipulierten Felder über z.B. das Kontaktformular. Eventuell findest du da was in der E-Mail history (bin ich mir aber nicht sicher, solangs nicht im Betreff stand), wenn der Angreifer die nicht bereinigt hat.

 

[webgreat]

Ich muss genau verstehen und nachvollziehen können wer wann wo rein ist.

 

[NoOne]

Das kannst du nicht über den Shop, wenn die Datenbankdaten kompromittiert wurden. Man kann alles direkt über die Datenbank manipulieren, das taucht nicht als Revision im Backend auf. Und selbst wenn das über das Backend gemacht wurde, hätte man die Einträge aus der Datenbank schlicht löschen können. Eventuell kann man auch aus Datenbanklogs was nachvollziehen, sofern welche verfügbar sind.

 

[webgreat]

Ich möchte wissen wie der Zugriff auf die DB stattgefunden hat. Es muss ja irgendwie ein Backdoor abgelegt wurden sein .. DB ist nur Lokal erreichbar.