Используйте хостинг Таймвеб CMS - Безопасность

Левый js в коде, откуда?

Илья Артурович · 2014-04-10T06:47:09.0000000Z

Доброго всем, вчера заметил у себя на сайте такую байду. 2 скрипта, один в голове, другой в подвале. Сайт около 2 000 страниц, но код, пока что, выявил только на одной. Сделан не на CMS, но с применением ПХП. Сам в js не силен, если кто разбирается и кому интересно, то вот код из головы: <script type="text/javascript">window.NREUM||(NREUM={}),__nr_require=function t(n,e,o){function r(a){if(!e[a]){var i=e[a]={exports:{}};n[a][0].call(i.exports,function(t){var e=n[a][1][t];return r(e?e:t)},i,i.exports,t,n,e,o)}return e[a].exports}for(var a=0;a<o.length;a++)r(o[a]);return r}({D5DuLP:[function(t,n){function e(t,n){var e=o[t];return e?e.apply(this,n):(r[t]||(r[t]=[]),void r[t].push(n))}var o={},r={};n.exports=e,e.queues=r,e.handlers=o},{}],handle:[function(t,n){n.exports=t("D5DuLP")},{}],G9z0Bl:[function(t,n){function e(){var t=d.info=NREUM.info;if(t&&t.agent&&t.licenseKey&&t.applicationID){d.proto="https"===c.split(":")[0]||t.sslForHttp?"https://":"http://",i("mark",["onload",a()]);var n=u.createElement("script");n.src=d.proto+t.agent,u.body.appendChild(n)}}function o(){"complete"===u.readyState&&r()}function r(){i("mark",["domContent",a()])}function a(){return(new Date).getTime()}var i=t("handle"),s=window,u=s.document,p="addEventListener",l="attachEvent",c=(""+location).split("?")[0],d=n.exports={offset:a(),origin:c,features:[]};u[p]?(u[p]("DOMContentLoaded",r,!1),s[p]("load",e,!1)):(u[l]("onreadystatechange",o),s[l]("onload",e)),i("mark",["firstbyte",a()])},{handle:"D5DuLP"}],loader:[function(t,n){n.exports=t("G9z0Bl")},{}]},{},["G9z0Bl"]);</script><script type="text/javascript">window.NREUM||(NREUM={}),__nr_require=function t(n,e,o){function r(a){if(!e[a]){var i=e[a]={exports:{}};n[a][0].call(i.exports,function(t){var e=n[a][1][t];return r(e?e:t)},i,i.exports,t,n,e,o)}return e[a].exports}for(var a=0;a<o.length;a++)r(o[a]);return r}({D5DuLP:[function(t,n){function e(t,n){var e=o[t];return e?e.apply(this,n):(r[t]||(r[t]=[]),void r[t].push(n))}var o={},r={};n.exports=e,e.queues=r,e.handlers=o},{}],handle:[function(t,n){n.exports=t("D5DuLP")},{}],G9z0Bl:[function(t,n){function e(){var t=d.info=NREUM.info;if(t&&t.agent&&t.licenseKey&&t.applicationID){d.proto="https"===c.split(":")[0]||t.sslForHttp?"https://":"http://",i("mark",["onload",a()]);var n=u.createElement("script");n.src=d.proto+t.agent,u.body.appendChild(n)}}function o(){"complete"===u.readyState&&r()}function r(){i("mark",["domContent",a()])}function a(){return(new Date).getTime()}var i=t("handle"),s=window,u=s.document,p="addEventListener",l="attachEvent",c=(""+location).split("?")[0],d=n.exports={offset:a(),origin:c,features:[]};u[p]?(u[p]("DOMContentLoaded",r,!1),s[p]("load",e,!1)):(u[l]("onreadystatechange",o),s[l]("onload",e)),i("mark",["firstbyte",a()])},{handle:"D5DuLP"}],loader:[function(t,n){n.exports=t("G9z0Bl")},{}]},{},["G9z0Bl"]);</script> ...И из подвала: <script type="text/javascript">window.NREUM||(NREUM={});NREUM.info={"beacon":"beacon-6.newrelic.com","licenseKey":"6258ee1469","applicationID":"3452825","transactionName":"NVYBZkYCChZZAkBeWQwcNkBdTAIMVARZVlhNWg1WURtKFVAR","queueTime":0,"applicationTime":62,"ttGuid":"","agentToken":"","userAttributes":"","errorBeacon":"jserror.newrelic.com","agent":"js-agent.newrelic.com\/nr-378.min.js"}</script><script type="text/javascript">window.NREUM||(NREUM={});NREUM.info={"beacon":"beacon-6.newrelic.com","licenseKey":"6258ee1469","applicationID":"3452825","transactionName":"NVYBZkYCChZZAkBeWQwcNkBdTAIMVARZVlhNWg1WURtKFVAR","queueTime":0,"applicationTime":71,"ttGuid":"","agentToken":"","userAttributes":"","errorBeacon":"jserror.newrelic.com","agent":"js-agent.newrelic.com\/nr-378.min.js"}</script> Просто уже интересно, как он туда попал, CMS - нет, MySQL баз - нет, внешние скрипты не установлены. И что он делает? P.S. Удалил - появился снова, опять удалил, больше, пока, не появляется.

ИА

63

Илья Артурович

10 апреля 2014, 10:01

#11

Infor, да, пока тихо. 1 сайт, тот на котором был скрипт - чистый, проверил.

Сейчас посмотрю другой.

Shihal, да, тоже отписались

Здравствуйте.
Нам известно о данной проблеме и мы занимаемся ее устранением. Приносим свои извинения за доставленные неудобства.

R

180

Алексей

10 апреля 2014, 10:27

#12

ТС и другие пострадавшие, задумайтесь над сменой хостинга, мне думается что там проблемы будут продолжаться.

Удаление вирусов с сайта, защита сайта, Гарантия! ( /ru/forum/999073 ) -> топик на маулталк ( http://www.maultalk.com/topic113834s0.html ) -> Топик в сапе ( http://forum.sape.ru/showthread.php?t=79363 ). TELEGRAM - https://t.me/Doktorsaitov

A

1

alexeyserge

15 апреля 2014, 21:54

#13

Что используете, VPS сервер? Ставили New Relic?

414

Mish-ka

15 апреля 2014, 22:14

#14

alexeyserge:
Что используете, VPS сервер? Ставили New Relic?

Ставим ставки, какой из предыдущих трёх клонов-антипиарщиков ответит?

Серч уже не торт => https://se.guru

204

deepslam

16 апреля 2014, 04:33

#15

Это код NewRelic

Видимо Вы или хостер отслеживаете производительность сайта с помощью http://newrelic.com

Это не вирус.

Удаление вирусов на сайте (http://www.virusonsite.ru) | Scripto CMS - бесплатная система управления сайтом (http://www.scripto-cms.ru) |Профессиональный скрипт каталога ссылок , статей, фирм и объявлений! (http://www.scripto.ru) | Уникальный скрипт для публикации контента (http://publisher.scripto.ru)

ИА

63

Илья Артурович

17 апреля 2014, 06:31

#16

Mish-ka:
Ставим ставки, какой из предыдущих трёх клонов-антипиарщиков ответит?

Mish-ka, Предположу, что Вы троль, сидящий на форуме только из-за того, что очень много времени свободного или школота. Но все же, если я заблуждаюсь, то ответьте на 2 вопроса:

1. С чего Вы взяли что я клон?

2. Где Вы увидели в моих сообщениях "антипиар" Timeweb-а? Я где-либо говорил, что Тайм плохой или, может быть, агитировал уходить от него?

alexeyserge, deepslam, спасибо за ответы. Нет, NewRelic не ставил, только сейчас от вас узнал, что такое существует. В принципе, после удаления кода, ничего больше не появляется. Поэтому можно считать, что вопрос решен.

Джон Мюллер о ранжировании Google о возможных причинах Товары, которые временно отсутствуют:

196

loed

17 апреля 2014, 10:35

#17

Хостин Таймвеб

CMS – на сайте нет

Появились ссылки в display:none

На компе kis 2013 – ком был проверен несколькими антивирусами

ftp –отключил

весь сайт выгрузил на комп – проверил касперским

файлы на сервер гружу через WinSCP

пароли меняю по 2 раза в день

каждый день на одних и тех же страницах появляются левые ссылки в display:none

В Почте Mail.Ru появилась В Яндекс.Метрике появились отчеты В Google Display &

414

Mish-ka

17 апреля 2014, 11:04

#18

Илья Артурович:
Mish-ka, Предположу, что Вы троль, сидящий на форуме только из-за того, что очень много времени свободного или школота. Но все же, если я заблуждаюсь, то ответьте на 2 вопроса:
1. С чего Вы взяли что я клон?
2. Где Вы увидели в моих сообщениях "антипиар" Timeweb-а? Я где-либо говорил, что Тайм плохой или, может быть, агитировал уходить от него?

:) Не стоит переходить на личности. Тролли, школоты и прочее.

Просто слишком подозрительная активность людей с новой датой реги и с нулевым счетчиком сообщений.

Против вас лично ничего не имею.

loed:
Хостин Таймвеб
CMS – на сайте нет
Появились ссылки в display:none
На компе kis 2013 – ком был проверен несколькими антивирусами
ftp –отключил
весь сайт выгрузил на комп – проверил касперским
файлы на сервер гружу через WinSCP
пароли меняю по 2 раза в день
каждый день на одних и тех же страницах появляются левые ссылки в display:none

Ломают хостера. Где-то есть дырочка. Тут и вариантов особо других и не видно, при таких раскладах.

Не. Есть конечно самый паскудный вариант, если кто-то из тех, кто имеет доступ к файлам, сам занимается подобной фишкой, но этот вариант я как-то даже не хочу брать во внимание.

1

Конец эры дорвеестроительства? От куда ссылки на Сменить владельца (администратора) домена

196

loed

17 апреля 2014, 11:25

#19

Ломают хостера. Где-то есть дырочка. Тут и вариантов особо других и не видно, при таких раскладах.

Не. Есть конечно самый паскудный вариант, если кто-то из тех, кто имеет доступ к файлам, сам занимается подобной фишкой, но этот вариант я как-то даже не хочу брать во внимание.

5 лет у них, убегать?

414

Mish-ka

17 апреля 2014, 14:22

#20

loed:
5 лет у них, убегать?

Ну не мне же решать. :)

Позвоните им. Только не на ТП, а в руководство.

Объясните в чем дело.

Может там какой-то крысеныш сидит и что-то мутит.

Заодно и хорошее дело можно сделать.

Что делать, если ваша email-рассылка попала в спам

Яндекс Вебмастер вынес товарные фиды в отдельный раздел

Левый js в коде, откуда?