Site Hacked

[startblog]

M-am intors din vacanta... Toate bune si frumoase, Bran, Brasov... 8 zile. Si gasesc o surpriza... www.directorulweb.com
Este prima data cand ma confrunt cu asa ceva. O sa mai tin indexul asta modificat pana aflu niste raspunsuri. Bazele de date sunt la locul lor la fel ca si celelalte fisiere. As vrea ceva parerei si sfaturi in primul rand o sa vorbesc cu cei de la smart hosting.
Merci.

Latter edit: Era un index cu titlul "Hacked by Virusman" acum e un redirect.

[w!ll]

Salveaza log-urile si noteaza ip-urile suspecte, daca vrei sa mergi mai departe cu acest caz

[startblog]

Damn. Nu pot sa acesez cpanelul

[w!ll]

Cred ca poti sa le iei si pe FTP, in root-ul site-ului (nu www sau public html)

[startblog]

[15:44:44] 331 User direweb OK. Password required
[15:44:44] PASS (hidden)
[15:44:45] 530 Login authentication failed

Pff. Stiti ceva despre site-ul catre care se redirectioneaza?
Am fost luat cam prin surprindere. Aseara am intrat doar in panoul de administrare pe la 2. Dupa am vazut indexul modificat si l-am lasat asa.
Acum...
Ca o ironie la cautarea pentru "hacked by virusman" este primul rezultat.

[w!ll]

probazar.com/www-infranet-ro-t11.html
softpedia.com/index.php?showtopic=171197

Domain Name: infranet.ro
Registrar: ICI - ROTLD
Registration Date: 2008-02-14
Nameservers:
ns1.fnews24.com
ns2.fnews24.com
Domain Status: OK
Domain Holder
Data Search SRL
Data Search SRL
Foisorului 4
Bloc F1C sc.1 et. 3 ap.16
Sector 3 Bucharest
xx, 031047, RO
Phone: +40-21-3230838
Fax: +40-21-3263955
Email: emanuel @ teodoru.com

[startblog]

Uite cum arata indexul
http://209.85.135.104/search?q=cache...lnk&cd=2&gl=ro

[alecs]

Probabil a obtinut acces la server. Vorbeste in primul rand cu cei de la hosting.
Deface-urile se fac de obicei cu galeata, nu numai unui singur site. Daca gasesti alt site gazduit pe aceeasi masina si cu aceeasi problema inseamna ca asta e.

[Joaffx]

startblog, baga-l in puscarie daca poti , te rog !

M-am saturat sa vad toti teribilistii care se dau "hackeri" .

Alecs : "Deface cu galeata" se numeste "mass deface" iar pentru asta in majoritatea cazurilor ai nevoie de privilegii de administrator aka root .
In cazul ca defaceul lui a fost provocat de catre un script rulat ce a facut "mass deface" atunci e vina hostingului .

Startblog, imi poti spune te rog ce aplicatii rulai pe site ?

-----------------

directorulweb com has the IP address: 208.87.243.67
44 found with the IP 208.87.243.67

M-am uitat aleatoriu peste celelalte 44 de siteuri gazduite pe acelasi server cu tine insa nu am vazut modificari ale indexului la nici una .

Personal tind sa cred ca atacatorul a obtinut accesul in urma unui bug prezent intr`o aplicatie pe care o rulai.

[forapathy]

asta e bun.. am vazut multe site-uri date jos de el )
din cate stiu ori intra prin ftp-uri cu parole usor de ghicit (nume proprii, de vreo 6-8 litere sau cifre) ori profita de scripturi php care au functia eval() si nu parseaza si verifica ce anume se introduce in acea functie..

P.S. Cand le spui sa isi faca back-up, sa isi puna antivirus, sa nu foloseasca scripturi gasite gratis pe net.. nu te asculta.. si isi bat joc de tine ca nu stii ce vb ca ei sunt smecheri..
Ce imi plac fazele astea cand isi invata lectia in felul asta..