Взлом фтп

Hide-R писал:

Я вообще до сих пор поражаюсь, как мои кенты, далеко не начинающие АВМ'ы до сих пор хранят пароли в тексовом файлике на рабочем столе

Я тоже всегда хранил и храню пароли в текстовом файле. Только не на рабочем столе, а в папке на одном из дисков. И расширение у моего текстового файлика вовсе не .txt Открываю его по F4 из FAR

В качестве FTP менеджера советую использовать FAR - он не хранит пароли в открытом виде.

Kors писал:

Stek: тут дело не в креках. я тоже такую заразу поймал, и даже почти догадываюсь где... Swapper: проверь вот это: %windows%\csrss.exe по принципу действия очень похож на тот что Ман ссылку давал, тоже имитирует нажатия кнопок в окнах сообщений (т.е. оутпост и каспер не спасают) запускается как системный процесс - просто так не снимешь.

Я только что проверил - есть у меня процесс csrss.exe

Как ты его удалил?

YUIOP писал:

Я только что проверил - есть у меня процесс csrss.exe Как ты ег о удалил?

Он у всех есть это майкрософтовская приблуда
посомтри дату создания файла и свойства

YUIOP писал:

В качестве FTP менеджера советую использовать FAR - он не хранит пароли в открытом виде.

утягиваются и из ФАРа пароли тоже.
какая разница как он их хранит - троян берет записи из реестра - пусть они и пошифрованые - на другом компе импортируем эти записи в реестр и ФАР их отлично понимает.

по поводу процесса - ранее писали - Файл csrss.exe всегда расположен в каталоге C:\Windows\System32/. В случае обнаружения этого файла в любом другом каталоге он должен быть незамедлительно удален.

Sergeyka писал:

Он у всех есть это майкрософтовская приблуда посомтри дату создания файла и свойства

Дата создания файла - 2002 год. Видимо все OK

quastro писал:

всмысле и расширение будет к примеры .jpg ??

ага

Сегодня опять обнаружил ифрейм в индексе и шелл в корне домена. Опять на том же домене, другие не тронуты. По логам фтп все чисто, никто не заходил.
в логам httpd обнаружил следующее:

Код:

[Sun May 27 04:02:17 2007] [notice] Apache/1.3.37 (Unix) mod_ssl/2.8.28 OpenSSL/0.9.7a PHP/4.4.4 mod_perl/1.29 FrontPage/5.0.2.2510 configured -- resuming normal operations [Sun May 27 04:02:17 2007] [notice] suEXEC mechanism enabled (wrapper: /usr/sbin/suexec) [Sun May 27 04:02:17 2007] [notice] Accept mutex: sysvsem (Default: sysvsem) [Sun May 27 04:06:10 2007] [error] [client 127.0.0.1] File does not exist: /var/www/html/r57shell/version.php error: 'kern.ostype' is an unknown key error: 'kern.osrelease' is an unknown key error: 'kern.ostype' is an unknown key error: 'kern.osrelease' is an unknown key error: 'kern.ostype' is an unknown key error: 'kern.osrelease' is an unknown key error: 'kern.ostype' is an unknown key error: 'kern.osrelease' is an unknown key error: 'kern.ostype' is an unknown key error: 'kern.osrelease' is an unknown key error: 'kern.ostype' is an unknown key error: 'kern.osrelease' is an unknown key error: 'kern.ostype' is an unknown key error: 'kern.osrelease' is an unknown key error: 'kern.ostype' is an unknown key error: 'kern.osrelease' is an unknown key error: 'kern.ostype' is an unknown key error: 'kern.osrelease' is an unknown key error: 'kern.ostype' is an unknown key error: 'kern.osrelease' is an unknown key error: 'kern.ostype' is an unknown key error: 'kern.osrelease' is an unknown key error: 'kern.ostype' is an unknown key error: 'kern.osrelease' is an unknown key

Как они этот шелл пропихивают ?

Может на серваках, которые ломают стоит какой-нить софт, в котором дырочку нашли?

на все сайты вчера повесили ифреймы.
по фтп с этого айпи 217.175.91.126.

откуда взяли пароли от всех серверов я хз антивирусы ничего не нашли.файрволл стоит.

я не понимаю смысл таких взломов ведь такое почти сразу просекается.

inetnum: 217.175.91.0 - 217.175.91.127
netname: Fort-DKS
descr: Fort DKS (Dnepr)
country: UA
admin-c: YVA7-RIPE
tech-c: YVA7-RIPE
status: ASSIGNED PA
mnt-by: DG-MNT
source: RIPE # Filtered

person: Vyacheslav Yalanskiy
address: 49040, Dnepropetrovsk, Dgincharadze, 12a
e-mail:
phone: +38 056 777-10-55
fax-no: +38 056 777-10-55
nic-hdl: YVA7-RIPE
source: RIPE # Filtered

Конечно просекаеться. А вы как думали. И до сих пор как дураки не можете понять? Веть все очень предельно просто. ))))))))))) . Взять и подставить конкурентов или врагов своих. Вот и все.

Жопе слова не давали. Вали давай отсюда.

miroz писал:

Сегодня опять обнаружил ифрейм в индексе и шелл в корне домена. Опять на том же домене, другие не тронуты. По логам фтп все чисто, никто не заходил. Как они этот шелл пропихивают ?

Включи PHP Safe Mode

Отключи PHP Register Globals

YUIOP писал:

Включи PHP Safe Mode Отключи PHP Register Globals

Скрипты работать не будут

плохие скрипты

а какие скрипты не требуют ON на
PHP Safe Mode
PHP Register Globals
?

Все разобрался, у меня ломали через скрипт голосовалки, которая на сайте висела(

miroz писал:

Как-то подозрительно, уж очень сильная эпидемия началась, где все могли это подцепить?

каникулы

Fiber писал:

Скорее всего, это какой-то криптованный pinch.

да так и есть, ты зайди на один из его сайтов, там целая страница фитч , от чего и как тянет, что пробивает

benzole писал:

выход - только в паранойе. я вон даже на закрытых сеошных форумах архивы предпочитаю не качать и на первые попавшиеся внешние ссылки не клацаю.

вчера инфу искал в рунете, по безобидной теме , на какой то сайт научных разработак зашел а там трояны кишат, эта гадасть уже по всюду распространилась

Kors писал:

проверяйте еще вот эту дрянь: http://www.viruslist.com/ru/viruses/encyclopedia?virusid=135929

да, где то читал что рекомендуют юзать старенькие и мало известные фтп клиенты, заибутся настраиваться под каждый из них свои продукты

мля что за долбаебизм с доменными именами? этот урод перевез домен на другой хост и там же опять поставил свой код.

У кого-нибудь есть идеи как добить этого урода?

rusawm писал:

У кого-нибудь есть идеи как добить этого урода?

Нормальные скрипты + нормальный хостер у которого один юзер не сможет поправить скрипты другого + антивирь на компе. Из моих ресурсов ничего не ломали

Gourad писал:

Нормальные скрипты + нормальный хостер у которого один юзер не сможет поправить скрипты другого + антивирь на компе. Из моих ресурсов ничего не ломали

ты не понял. Трояна удалили переустановкой винды. я отписал абуз хостеру, тот забанил акк, он перевез его на другой хост за бакс и будет делать это каждый раз. Писал регистратору абуз на эксплойты и неверных вхуиз, ответа так и не получил. У меня желание принести побольше гемороя создателю трояна хочу чтобы домен этот залочили и юзеры не заражились.

У меня вот подобная проблема была так я сейчас вообще фтп не прописываю никуда а просто копирую с фара с отдельной папки соединяюсь и удаляю чтобы не было настройках FTP никаких соединений надеюсь пронесет

вот так вот почитаешь, и параноиком станешь... лето блять, каникулы...
мож накатать абуз общими силами? или регистратора домена задолбить по полной. Надавить на неправильный хуиз.

Вот уроды! Вчера на три домена инфреймы в индексах поставили.
Айпишник этот же самый - 217.175.91.126

Блин, много жалоб на NOD32

LOVE писал:

Блин, много жалоб на NOD32

у меня он чтото дохуя пропускает.