Ломают сайт в онлайн режиме

C
На сайте с 07.05.2010
Offline
227
6579

Прямо сейчас ломают сайт. Идет куча запросов с 178.49.7.14.

Стал искать - через google нашел php-скрипт с упоминанием своего сайта. Сейчас сайт висит. По логам вроде видно, что идет подстановка url.

Знаю, что конкуренты. Вот кусок кода. Подскажите, чем лечить.

=================================================

<?php

if ($_SERVER['REQUEST_URI'] == '' || $_SERVER['REQUEST_URI'] == '/')

{

die("<a href='мой сайт'>url</a> | <a href='мой сайт'>url</a>");

}

$url = "мой сайт{$_SERVER['REQUEST_URI']}";

function replaceUrls($text)

{

$text = str_replace("мой сайт", "http://test3.thelogin.ru/", $text);

return $text;

}

require_once("HTTP/Request.php");

$request = new HTTP_Request($url);

switch ($_SERVER['REQUEST_METHOD'])

{

case "POST":

$request->setMethod(HTTP_REQUEST_METHOD_POST);

foreach ($_POST as $fieldName => $fieldValue)

{

$request->addPostData($fieldName, $fieldValue);

}

if (!empty($_FILES))

{

foreach ($_FILES as $fieldName => $uploadedFile)

{

$request->addFile($fieldName, $_FILES[$fieldName]['tmp_name'], $_FILES[$fieldName]['type']);

}

}

break;

default:

$request->setMethod(HTTP_REQUEST_METHOD_GET);

break;

}

$request->sendRequest();

($location = $request->getResponseHeader("Location")) ? header("Location: " . replaceUrls($location)) : false;

foreach (array("Content-type", "Last-Modified", "Expires", "Cache-Control") as $forwardHeader)

{

($h = $request->getResponseHeader(strtolower($forwardHeader))) ? header("{$forwardHeader}: {$h}") : false;

}

$response = $request->getResponseBody();

if (preg_match('#<input type="hidden" name="file" value="(.*)"#isU', $response, $match))

{

$tmpfname = tempnam("/tmp", "FOO");

file_put_contents($tmpfname, preg_replace_callback("#[\x7f-\xff]#", create_function('$m', 'return "0x" . dechex(ord($m[0]));'), $match[1]));

ob_start();

passthru("unrtf {$tmpfname}");

unlink($tmpfname = tempnam("/tmp", "FOO"));

$x = ob_get_clean();

$x = preg_replace_callback('#0x([0-9a-f][0-9a-f])#', create_function('$m', 'return chr(hexdec($m[1]));'), $x);

print $x;

exit;

}

$response = replaceUrls($response);

print $response;

==================================================

Garin33
На сайте с 31.08.2009
Offline
169
#1

Удалить файл, сменить пароли, проверить логи. Все как всегда.

Какое тут еще то решение может быть?

Потому что Drupal - это круто.
C
На сайте с 07.05.2010
Offline
227
#2

Какой удалить файл? Этот файл нашел в сети. У меня все чисто.

M
На сайте с 01.12.2009
Offline
235
#3
ctit:
Какой удалить файл? Этот файл нашел в сети. У меня все чисто.

напишите глянем вашу проблему

Администратор Linux,Freebsd. построения крупных проектов.
Garin33
На сайте с 31.08.2009
Offline
169
#4

А.. файл не на хостинге лежит, просто в тырнете.

Так пусть подставляют что хотят - вам-то что с этого плохого? IP в баню этот, плюс можно в htaccess правило добавить, чтобы при n-ном запросе их редиректить в гугл скажем.

Andreyka
На сайте с 19.02.2005
Offline
822
#5

Поставить mod_security для начала

Не стоит плодить сущности без необходимости
Антон Лавеев
На сайте с 31.10.2005
Offline
425
#6
ctit:
Стал искать - через google нашел php-скрипт с упоминанием своего сайта.

И как же вы его искали?

Tarry добавил 25.07.2011 в 12:55

И чего вы хотите лечить?

☠️☠️☠️
C0
На сайте с 25.07.2011
Offline
9
#7

в корне сайта в файле .htaccess добавь строку deny from 178.49.7.14 по крайней мере это остановит запросы с этого адреса

DV
На сайте с 01.05.2010
Offline
644
#8

У меня с нескольких IP простукивали сервер, как только поставил. Занёс все в IPFW, и всё. Заодно всяких агрессивных роботов и спамеров.

VDS хостинг ( http://clck.ru/0u97l ) Нет нерешаемых задач ( https://searchengines.guru/ru/forum/806725 ) | Перенос сайтов на Drupal 7 с любых CMS. ( https://searchengines.guru/ru/forum/531842/page6#comment_10504844 )
O
На сайте с 02.06.2006
Offline
67
#9

ctit Логи сайта смотрите почаще. Будете "приятно" удивлены насколько часто и со всевозможных IP простукивают сайт на уязвимость с попыткой загрузить вам некий файл. )) Это типа напоминания, что скрипты cms нужно держать в актуальности и при первых охах по инету обновлять или латать.

Страшного ничего нет - ну чуть сайт подвесят, ну трафа съедят. Совет с .htaccess хороший, поможет блокнуть особо наглых, да и траф съэкономите.

Не советовал бы только увлекаться этим, )) ip много, а файл не безразмерный.

LM
На сайте с 18.10.2009
Offline
117
#10
oldvovk:
Не советовал бы только увлекаться этим, )) ip много, а файл не безразмерный.

Подсети банить, не?

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий