Versiune printabilă
M-am intors din vacanta... Toate bune si frumoase, Bran, Brasov... 8 zile. Si gasesc o surpriza... www.directorulweb.com
Este prima data cand ma confrunt cu asa ceva. O sa mai tin indexul asta modificat pana aflu niste raspunsuri. Bazele de date sunt la locul lor la fel ca si celelalte fisiere. As vrea ceva parerei si sfaturi in primul rand o sa vorbesc cu cei de la smart hosting.
Merci.:(
Latter edit: Era un index cu titlul "Hacked by Virusman" acum e un redirect.
Salveaza log-urile si noteaza ip-urile suspecte, daca vrei sa mergi mai departe cu acest caz
Damn. Nu pot sa acesez cpanelul
Cred ca poti sa le iei si pe FTP, in root-ul site-ului (nu www sau public html)
Pff. Stiti ceva despre site-ul catre care se redirectioneaza?Citat:
[15:44:44] 331 User direweb OK. Password required
[15:44:44] PASS (hidden)
[15:44:45] 530 Login authentication failed
Am fost luat cam prin surprindere. Aseara am intrat doar in panoul de administrare pe la 2. Dupa am vazut indexul modificat si l-am lasat asa.
Acum...
Ca o ironie la cautarea pentru "hacked by virusman" este primul rezultat.:knockout:
probazar.com/www-infranet-ro-t11.html
softpedia.com/index.php?showtopic=171197
Domain Name: infranet.ro
Registrar: ICI - ROTLD
Registration Date: 2008-02-14
Nameservers:
ns1.fnews24.com
ns2.fnews24.com
Domain Status: OK
Domain Holder
Data Search SRL
Data Search SRL
Foisorului 4
Bloc F1C sc.1 et. 3 ap.16
Sector 3 Bucharest
xx, 031047, RO
Phone: +40-21-3230838
Fax: +40-21-3263955
Email: emanuel @ teodoru.com
Uite cum arata indexul
http://209.85.135.104/search?q=cache...lnk&cd=2&gl=ro
Probabil a obtinut acces la server. Vorbeste in primul rand cu cei de la hosting.
Deface-urile se fac de obicei cu galeata, nu numai unui singur site. Daca gasesti alt site gazduit pe aceeasi masina si cu aceeasi problema inseamna ca asta e.
startblog, baga-l in puscarie daca poti , te rog !
M-am saturat sa vad toti teribilistii care se dau "hackeri" .
Alecs : "Deface cu galeata" se numeste "mass deface" iar pentru asta in majoritatea cazurilor ai nevoie de privilegii de administrator aka root .
In cazul ca defaceul lui a fost provocat de catre un script rulat ce a facut "mass deface" atunci e vina hostingului :).
Startblog, imi poti spune te rog ce aplicatii rulai pe site ?
-----------------
directorulweb com has the IP address: 208.87.243.67
44 found with the IP 208.87.243.67
M-am uitat aleatoriu peste celelalte 44 de siteuri gazduite pe acelasi server cu tine insa nu am vazut modificari ale indexului la nici una :).
Personal tind sa cred ca atacatorul a obtinut accesul in urma unui bug prezent intr`o aplicatie pe care o rulai.
asta e bun.. am vazut multe site-uri date jos de el :)))
din cate stiu ori intra prin ftp-uri cu parole usor de ghicit (nume proprii, de vreo 6-8 litere sau cifre) ori profita de scripturi php care au functia eval() si nu parseaza si verifica ce anume se introduce in acea functie..
P.S. Cand le spui sa isi faca back-up, sa isi puna antivirus, sa nu foloseasca scripturi gasite gratis pe net.. nu te asculta.. si isi bat joc de tine ca nu stii ce vb ca ei sunt smecheri..
Ce imi plac fazele astea cand isi invata lectia in felul asta.. :twisted:
Pe site rulam un PhpLD.
Treaba s-a rezolvat, ca in romania dar s-a rezolvat. :))
Am vorbit cu cei de la hosting. Le-am spus ce s-a intamplat. Primesc un copy paste
Adica ma acuzau de phishing a trebuit sa mai insist ca sa inteleaga nu eu mi-am scris mare pe index HACKED BY VIRUSMAN.:)Citat:
Hello,
We have suspended this website as we see phishing contents uploaded on it. Also the client have created one sub-domain with the name of bank of america
onlineid.bankofamerica.com.directorulweb.com: direweb
All the files are uploaded in
/home/direweb/public_html/onlineid.bankofamerica.com/ZoErgJgfdrrGyyZpOoIXwgr/tcp
directory. So we have suspended this website.
Please inform your client directorulweb.com that uploading this phishing files is not lgal on server. So we cannot unsusped this website on server.
In fine. Ii intreb ce s-a intamplat si mi se raspunde "pai ....ti-am spus , ai citit ce sa intamplat" .!!!
Da am citit dar cine e de vina... asta am intrebat. Superb. Superb. Superb.
Ii intrebsi primesc un raspuns la fel de multumitor ca si celelalte, contul va fi sters si creat din nou, dar backup nu pot sa-mi trimita sa nu fie infectat.Citat:
ati putea inainte sa stergeti contul sa-mi trimitet-i si mie un bacup de la baza de date?
Traiasca romania :D
Edit: forapathy: meriti un +
e din cauza scriptului, nu esti sungurul care a patito, de asemnea wordpres si joomla sunt varza la atacuri
Daca era specificat in pachetul de gazduire ca asigura backup atunci schimba hostul. Punct.Citat:
Postat în original de startblog
:rolleyes: asta unde ai auzit-o ?Citat:
Postat în original de Mihai Gianu
Pai ce vina au Joomla si Wordpress ca tu instalezi X componente facute de persoane care nu stiu sa securizeze ?
Stii cum e asta ?
Ca si cum tu ti-ai lua un BMW X5 , dupa il modifici si pui motor de Dacie iar apoi te plangi ca masina e instabila si nu ia virajele bine si etc.
Joomla si Wordpress curate sunt chiar foarte bine securizate .
Curat = fara componente,addonuri,modificari etc.
Are dreptate Joaffx..un prieten de al meu a patit tot asa si avea joomla, cu vreo 2 zile inainde sa i se intample luase dupa nu stiu ce site o componenta ( nu mai stiu cum se numea dar o sa il intreb ) si tot asa i se intamplase dar nu stiu daca tot asa ii aparea cu virusman...
pentru cei ce nu stiu de asta imediat dupa lansarea versiunii 2.5 a aparut un hack ce avea efect de la versiunea 1 pana la 2.5 .. apoi in cateva zile a aparut versiunea 2.6 si o alta versiune din seria 1 si cu specificarea ca toata lumea sa faca upgrade la 2.6.Citat:
Postat în original de Joaffx
Eu am avut 5 site-uri pe care rulam wordpress afectate de acel hack dar mi-am dat seama repede si am sters si repus la loc totul..
Pe langa ca punea in baza de date un user nou pentru atacator.. lua toate fisierele din ftp si le adauga o bucata de cod.. si astfel atacatorul avea acces la parole si vedea toate miscarile de pe acele site-uri.
Da.. sunt ele sigure acum.. dar daca iti pui doar baza in asta si nu faci back-upuri.. mai bine pui direct parolele pe prima pagina a site-ului si ai rezolvat problema :P
Si sa nu va mirati ca eu prefer sa-mi fac singur scripturile , nu vezi codul sursa , nu sti ce e pe acolo , nu sti cum ai putea sparge scriptul . Si ca sa revin ontopic care ar fi sansele de castig daca as merge la politie cu dovezile unui atac asupra serverului ( loguri & notificari pe mail de la sistemul supraveghere al serverului ) ? IP-ul este unul de romania , am gasit foarte usor si isp-ul ( serverul e acum secure , am vazut cum au reusit sa intre si am remediat problema ) .
Si da , joomla si wordpress-ul sunt ok daca le instalezi doar pe ele , dar , oare cati vor sa foloseasca doar functiile default ale acestor scripturi ?
banuiesc ca mici. Probabil ca trebuia din start sa preleveze ei probele. Nu stiu. Dar daca toti zic ca mine dupa nimeni nu face raport. Daca incerci ceva si primesti vreun raspuns oficial sa ne zici si nou sa stim pe viitor.Citat:
Postat în original de dacian
Din lipsa timpului nu am apucat sa sun la politie , maine sunt putin mai liber si voi face acest lucru , va anunt cum decurg treburile .Citat:
Postat în original de pitagora
Vedeti mai multe aici, poate si siturile voastre:
www. zone-h. org/component/option,com_attacks/Itemid,43/
Am avut si eu probleme destule si chiar interesante, dar din 5 atacuri turcesti de ex, doar 1 a fost in directa legatura cu scriptul folosit. Celelalte au fost atacuri de succes din cauza companiei de hosting.
Cand m-am confruntat si eu cu ceva mai serios, am scris si aici, nestiind exact ce se intamplase ( http://forum.seopedia.ro/discutii-ge...not-found.html )