Сайт атакует вирус. Дистрибутив DLE initme.php

У многих сейчас такая проблема.

Важно делать следующее:

1. Залатать дыры в дле

http://dle-news.ru/bags/v90/1127-nedostatochnaya-filtraciya-vhodyaschih-dannyh.html

http://dle-news.ru/bags/v85/1040-nedostatochnaya-filtraciya-vxodyashhix-dannyx.html

2. Проверить в группе Администраторы не появилось ли нового админа. Если появился удалите его перенеся сначала в Гости и потом полностью удалив.

3. Обычно этот вирус заражает файлы в папке engine->cache->system

информерс, релейтед и фанкшн. Надо их удалить

4. В папке uploads часто появляется файл htaccess.php или mysql.php надо их удалить.

5. В папке templates или uploads может появится новая папка со страницами злоумышненика. Обычно это рекламные страницы. Естественно удаляем

6. В папке engine появляется новый файл initme.php надо его удалить. Не забудте что файл из корневой папки index.php содержит ссылку на этот файл. Поэтому поредактируйте файл index.php а то сайт работать не будет

7. Почистите основной шаблон сайта от тегов, которые могли вставить вирусы. Обычно это div теги, которые находятся вне зоны видимости экрана.

Обычно заражен файл templates->Имя вашего шаблона->main.tpl

Кроме того в шаблоне может появится новый тег {lb}. Этот тег тоже лучше удалить.

8. Советую также в настройках групп пользователей в админке для всех групп пользователей запретить загрузку файлов на сайт.

Лечитесь. У меня тоже много сайтов позаражалось.

Спасибо! Однако это не-помогает, хотя на одном сайте сработало на другом хостинге вирус перестал появляться (возможно хакер просто забыл про сайта), а вот на хостинге timeweb вирус по прежнему появляется. Даже больше того, вчера я купила лицензию движка 9.2. Установила и подумала что можно спать спокойно, сегодня опять initme.php и и все что вы описали как всегда появились на сайте. Иногда вирус прописывает себя в login.tpl и устанавливает там закодированный код типа $o="fdsfdsfsdrwerwefrqfevger"

В логах опять команда POST выполняется как-будто сайт не мой а хакера. Движок дырявый до ужасов!!!! На сайт вирус попадает через дырку в движке. FTP исключается, если-бы через ftp был залит шел в он бы в логах которые я смотрю не отображался.

Измените адрес входа администратора, дыра возможно в плагине, советую заново поставить 9.2 и для начала из старого установить только бд.

Уже нескольео раз меняла, имя админки, пароль фтп так и sql.

Кто в курсе для чего папка на хостинге cgi-bin ? Кажется шел перестал попадать на один из сайтов когда я поставила права на папку 0. Удалить папку нельзя, в ней лежит 1 файл php, который открыть нельзя.

Ирина стучите в аську помогу... проблема в самом дле!

Укажите QIP или Skype.. В Skype с ником abraabra много пользователей.

Да, действительно не на всех сайтах помогает((

Ирина отпишитесь, пожалуйста, когда найдете проблему. Я тоже буду её искать.

Заметила установив права на папку cgi-bin - 0, на сайте где поставила вирус перестал появляться в привычном виде, но логи говорят об обратном, не одного инфицированного и нового файла на сайте не нашла. Что это может значить, кто может подсказать?

site.ru 91.79.75.127 - - [12/Mar/2011:10:47:25 +0300] "POST /engine/initme.php HTTP/1.0" 404 211 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.9.0.4) Gecko/2008102920 AdCentriaIM/1.7 Firefox/3.0.4"

site.ru 91.79.75.127 - - [12/Mar/2011:10:47:25 +0300] "POST /uploads/htaccess.php HTTP/1.0" 403 218 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.9.0.4) Gecko/2008102920 AdCentriaIM/1.7 Firefox/3.0.4"

site.ru 91.79.75.127 - - [12/Mar/2011:10:47:26 +0300] "POST /uploads/1.php HTTP/1.0" 403 211 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.9.0.4) Gecko/2008102920 AdCentriaIM/1.7 Firefox/3.0.4"

Первые три попытки как всегда оказались неудачны, а вот следующие 3 команда POST удачны.

site.ru 91.79.75.127 - - [12/Mar/2011:10:47:26 +0300] "POST / HTTP/1.0" 200 62668 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.9.0.4) Gecko/2008102920 AdCentriaIM/1.7 Firefox/3.0.4"

site.ru 91.79.75.127 - - [12/Mar/2011:10:47:29 +0300] "POST / HTTP/1.0" 200 28 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.9.0.4) Gecko/2008102920 AdCentriaIM/1.7 Firefox/3.0.4"

site.ru 91.79.75.127 - - [12/Mar/2011:10:47:29 +0300] "POST / HTTP/1.0" 200 55362 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.9.0.4) Gecko/2008102920 AdCentriaIM/1.7 Firefox/3.0.4"

Но на сайте нечего нового не появилось после этих попыток, не один файл не изменился. Я победила вирус, или он стал бить в новое место?

Осипова Ирина Владимировн добавил 12.03.2011 в 13:27

Что за плагин? Если вы имеете в виду WYSIWYG редактор, то я его полностью удалила, чтобы уменьшить место для поисков. Все папки где php код защитила htaccess, после чего к ajax из вне обратиться было нельзя. Но вирус все равно оказался на сайте.

После этого начинаю думать, что руткит-шелл на хостинге.

Ну это показывает что злоумышленник пытался открыть главную страницу. В этом ничего плохого нет.

Мне всегда казалось, что когда открываешь страницу, в логах пишут метод GET, POST это когда что-то на сайт отправляешь. Поправьте если я ошибаюсь.