Neu Shop Exploit / Hack / JS Injektion Bestellabschluss Vorkasse Iframe Zahlungsumleitung

[webgreat]

Ich habe hier ein Exemplar. Da wurde ein Script injected in der DB in Tabelle tboxsprache in eine Footer Box.

find /var/www/vhosts/xxxx/logs/ -type f \( -name "* log*" -o -name "*.gz" \) -print0 2>/dev/null \
| xargs -0 zgrep -HnE 'POST .*/admin/emailvorlagen\.php' 2>/dev/null

1: Admins haben alle 2FA aktiviert
2: Kein Eintrag in trevision für die Footer Box
3: Keine geänderten Files
4: Files in Summe keine Auffälligkeiten
5: offensichtlich nicht über die Sicherheitslücke gekommen emailvorlagen ..
6: DB Server von außen nicht erreichbar

Ideen?

 

[NoOne]

offensichtlich nicht über die Sicherheitslücke gekommen emailvorlagen ..

Wie kommst du darauf? Das wird mit ziemlicher Sicherheit über diese Lücke passiert sein, weil sie nicht rechtzeitig gepatcht wurde.

Edit: Ein POST auf /admin/emailvorlagen.php ist hier unerheblich dafür ob die Lücke genutzt wurde. Das ausspähen der Daten und der RCE kam durch entsprechend manipulierten Felder über z.B. das Kontaktformular. Eventuell findest du da was in der E-Mail history (bin ich mir aber nicht sicher, solangs nicht im Betreff stand), wenn der Angreifer die nicht bereinigt hat.

 

[webgreat]

Ich muss genau verstehen und nachvollziehen können wer wann wo rein ist.

 

[NoOne]

Das kannst du nicht über den Shop, wenn die Datenbankdaten kompromittiert wurden. Man kann alles direkt über die Datenbank manipulieren, das taucht nicht als Revision im Backend auf. Und selbst wenn das über das Backend gemacht wurde, hätte man die Einträge aus der Datenbank schlicht löschen können. Eventuell kann man auch aus Datenbanklogs was nachvollziehen, sofern welche verfügbar sind.

 

[webgreat]

Ich möchte wissen wie der Zugriff auf die DB stattgefunden hat. Es muss ja irgendwie ein Backdoor abgelegt wurden sein .. DB ist nur Lokal erreichbar.

 

[NoOne]

Zugriff auf Backend = Zugriff auf Datenbank über plugins. Zugriff auf Dateisystem = Zugriff auf Datenbank über php-Dateien/adminer/phpMyAdmin.

Kriegt man über eine Webshell die über die Lücke installiert wurde. Evtl. auch indem man sich einfach einen Backend-Zugang in die DB schreibt, um dann ein entsprechendes Plugin hochzuladen und zu installieren. Wenn man erstmal ins Backend kommt, gibts da halt einige Möglichkeiten.

 

[webgreat]

Das brauchst du mir nicht erzählen. Es gibt halt keinerlei spuren, NULL nichts, in den Server Logs oder DB .. das ist der Punkt.

 

[webgreat]

Es wurde eine Box angelegt und dann Content mit script .. im Footer ..
Das in den ganzen Tabellen kein dCreated vorhanden ist, ist ein Riesen großer Scheiß.