Фрилансер вместе с работой скинул файл в котором вот такой подозрительный код, что это?
Страницы: 1
Фрилансер вместе с работой скинул файл в котором вот такой подозрительный код, что это?
Что значит этот короткий код в файле, я так понимаю это взлом сервера?

<?php
$servername = $host;
$database = $db; 
$username = $name;
$password = $pass;

$sql = "mysql:host=$servername;dbname=$database;";
$dsn_Options = [PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION];


try { 
  $my_Db_Connection = new PDO($sql, $username, $password, $dsn_Options);
  echo "Connected successfully";
} catch (PDOException $error) {
  echo 'Connection error: ' . $error->getMessage();
}


$my_Insert_Statement = $my_Db_Connection->prepare("INSERT INTO catalog (name, lastname, email) VALUES (:first_name, :last_name, :email)");

$my_Insert_Statement->bindParam(:first_name, $first_Name);
$my_Insert_Statement->bindParam(:last_name, $last_Name);
$my_Insert_Statement->bindParam(:email, $email);

if ($my_Insert_Statement->execute()) {
  echo "OK";
} else {
  echo "Error";
}
$my_Insert_Statement->execute();


if ($my_Insert_Statement->execute()) {
  echo "OK";
} else {
  echo "Error";
}

$offset = $argv[0]; 
$query  = "SELECT id, name FROM products ORDER BY name LIMIT 20 OFFSET $offset;";
$result = pg_query($conn, $query);

insert into pg_shadow(usename,usesysid,usesuper,usecatupd,passwd)
    select 'crack', usesysid, 't','t','crack'
    from pg_shadow where usename='postgres';$query  = "SELECT id, name, inserted, size FROM products
           WHERE size = '$size'";
$result = odbc_exec($conn, $query);


union select '1', concat(uname||'-'||passwd) as name, '1971-01-01', '0' from usertable;


// $uid: ' or uid like '%admin%
$query = "UPDATE usertable SET pwd='...' WHERE uid='' or uid like '%admin%';";

// $pwd: hehehe', trusted=100, admin='yes
$query = "UPDATE usertable SET pwd='hehehe', trusted=100, admin='yes' WHERE
...;";

$query  = "SELECT * FROM products
           WHERE id LIKE '%a%'
           exec master..xp_cmdshell 'net user test testpass /ADD' --%'";
$result = mssql_query($query);


//Establishes the connection
$conn = sqlsrv_connect($serverName, $connectionOptions);
$tsql= "SELECT TOP 20 pc.Name as CategoryName, p.name as ProductName
        FROM [SalesLT].[ProductCategory] pc
        JOIN [SalesLT].[Product] p
     ON pc.productcategoryid = p.productcategoryid";
$getResults= sqlsrv_query($conn, $tsql);
echo ("Reading data from table" . PHP_EOL);
if ($getResults == FALSE)
    echo (sqlsrv_errors());
while ($row = sqlsrv_fetch_array($getResults, SQLSRV_FETCH_ASSOC)) {
 echo ($row['CategoryName'] . " " . $row['ProductName'] . PHP_EOL);
}
sqlsrv_free_stmt($getResults);

?>
Ну на вскидку код в БД сбрасывает каких-то юзверей (по паролям) и устанавливает кому-то из них пароль 'crack' или 'hehehe', а также права админа. Но это очень приблизительно.
Мы не можем похвастаться мудростью глаз
И умелыми жестами рук,
Нам не нужно все это, чтобы друг друга понять.
Сигареты в руках, чай на столе - так замыкается круг,
И вдруг нам становится страшно что-то менять.
Можно много чего предполагать, уточнили бы. Похоже увязаны как то товары и пользователи, может сброс пароля для редактирования товаров пользователя.. На этапе разработки какие то вещи тестируются отдельно, иногда в отдельных файлах.. зачем оно скажет тот кто делал
Вот несколько статей, они и натолкнули меня на мысль что этот код подозрителен https://studwood.ru/1047029/informatika/vnedrenie        https://konyakov.ru/pubs/php/php7/security.database.sql-injection.html
Очень подозрительный код, похоже на шелл.

★★★★★

inwoxer.ru - копии сайтов 800 руб, создание сайтов 200 руб, https сертификаты и другие услуги по СОЧНЫМ ценам. 
NEW! СЕО аудит 700 руб и прогон Твиттер 500 руб

★★★★★
А я искала помощь в раскрутке - (затёр)
Изменено: Prapovednik - 15 Августа 2018 10:14 (затёр)
Вот еще одну статью нашел с этим кодом http://php.net/manual/ru/security.database.sql-injection.php

Вообщем на мой вопрос для чего нужен этот файл, фрилансер сказал что  "файл этот вносит правки в базу данных, добавляя, обновляя, очищая ее"


Не знаю для чего это все ему нужно.

Вы будете сильно удивлены но это один из Пользователей данного форума, он здесь предоставляет свои услуги.... И возможно он даже прочитал эту тему)
Цитата
Иван Петров пишет:
фрилансер сказал что "файл этот вносит правки в базу данных, добавляя, обновляя, очищая ее"
врёт
Цитата
Иван Петров пишет:
Вы будете сильно удивлены но это один из Пользователей данного форума
Ну а чего удивляться-то, это обычный форум, и детектор лжи при регистрации тут никому проходить не надо.
У него здесь длинная тема с года 2013 и много отзывов, неприятная ситуация
Безопасный код со словами crack и вот этим вот UPDATE usertable SET pwd='hehehe', trusted=100, admin='yes' WHERE ??? Да ну нафиг.
Цитата
Иван Петров пишет:
У него здесь длинная тема с года 2013 и много отзывов, неприятная ситуация


Может тогда опубликуете ссылку на тему исполнителя?smile:)
Самый интересный участок:

Код
$query  = "SELECT * FROM products 
           WHERE id LIKE '%a%' 
           exec master..xp_cmdshell 'net user test testpass /ADD' --%'"; 
$result = mssql_query($query); 


Создает в системе юзера "test", пароль "testpass", ну а дальше дело повышения привилегий, что как правило, опытному специалисту не составляет труда.
людмила василюк, бан. затёр
Страницы: 1
Читают тему (гостей: 1, пользователей: 0, из них скрытых: 0)
Новые темыОбъявленияСвободное общение
21:22 Webvork - международная товарная СРА сеть с сертифицированными офферами на Европу. 
16:18 Adtrafico - Правильная партнёрская сеть под бурж трафик 
12:26 Bropush - твой бро в монетизации сайта push-уведомлениями 
17:06 Perfect.Studio: InstAccountsManager — лучший инструмент для автоматизации заработка в Instagram 
16:04 VKAccountsManager — лучший инструмент для продвижения и заработка Вконтакте 
13:26 DreamCash.tl - заработок на онлайн-видео. До 95% отчислений, отличный конверт! 
11:46 Dao.AD: Монетизация и покупка Push/Pops/Inpage и Video трафика! 
13:32 Coin Click.cc - Быстрый и надежный обмен электронных валют в два клика 
11:17 Просто $0.04/IP 9PROXY.COM Резидентные прокси Неограниченная пропускная способность Уникальная политика замены Без чёрного списка 
22:21 ProxyWins.com - 15% по промо-коду "venividivici" 
17:00 Burzh.top|Партнерская программа под любой вид трафика (email, спам, УБТ) 
16:07 Ural-obmen.ru — выгодный сервис обмена 
15:57 Obama.ru - безопасный обмен криптовалют и электронных денежных средств 
14:50 Мобильные и Резидентные Прокси Для Соц Сетей | 3 Гб Бесплатно 
11:02 Видимо, похороны СУПРа уже прошли как-то по-тихому 
22:18 Добро пожаловать в цифровой мир... 
23:41 Точные прогнозы на футбол 
12:04 Как получить рефералов и посетителей на сайт бесплатно. 
12:48 Каспкрски ОС 
11:21 Ням-ням! - 8 деликатесов, которые когда-то ели только бедные люди 
14:41 Бесплатный мини-аудит юзабилити и конверсии + технический SEO-аудит в подарок