Feltört oldalaink, R.I.P. Options

[Killroy]

Közben beszéltem a szolgáltatómmal és kiderült, hogy mi volt a gond. Egyébként nem ingyenes szolgáltató, és eléggé komolynak is tűnt azért választottam őket.
A szolgáltató már tudott a dologról, hogy valaki baszkurálja az ő szervereiken tárolt honlapokat. A csóka akivel beszéltem valami olyasmit mondott, hogy a támadónak szintén volt egy tárhely előfizetése náluk és ezt használta ki, hogy valami szkriptet futtasson le ami megváltoztatta oldalaknak a kezdőlapját arra, hogy (hacked by...).

Igazából a támadó nem is változtatta meg a jelszavamat, csak a főoldalt cseszte szét. Az FTP-t utána azért nem tudtam elérni, mert a támadás miatt a szolgáltató nem engedte hogy külsőleg hozzálehessen férni. Mondjuk ezt én is észrevehettem volna, mert nem a jelszóval volt baja az FTP kliensnek, hanem a címet nem tudta elérni.

This post has been edited by Killroy: 2008. Sep 5., 13:18

[velena]

Sziasztok! Tudtok esetleg valamit az Even nevű Java vírusról? Az egyik oldalunkat feltörte, a szolgáltatónk mondta, hogy mostanában elég gyakori, különböző ftp-s adatokat tároló programokból begyűjti a különböző belépőkódokat, feltöri az oldalt és beépül a forráskódba, a tárhelyen egy even24 mappát is létrehoz. Az oldal fekete listára kerül...
Ha esetleg, valaki megküzdött már a problémával, írjon várható-e még valami rafináció ezzel kapcsolatban, ha már leszedtük a vírust, a jelszavakat is megváltoztattuk/kiiktattuk.


This post has been edited by velena: 2009. Jul 30., 10:55

[BlackY]

Helló

Nekem nem pont az even24-el volt dolgom, egy másik hasonlóan szemét döggel, megszerezte a felhasználóneveket/jelszavakat, aztán megfertőzött ~100-150 php filet két oldalon is. Már MIELŐTT kiírtod, változtasd meg az ftp elérést, úgy kapcsolódj, hogy nem tároltatod a programban a megváltozott jelszót, akkor - ha tényleg mindenhonnan kiírtottad - elvileg minden oké. (És nézz rá az oldalra chrome-al, ha még van benne vírus-sitera irányító javascript, az szólni fog.). Én még ezután újraraktam a teljes rendszert, bár feleslegesen, mert kiderült, hogy nem az én gépem volt a fertőzött.

BlackY

[velena]

Helló! Köszönöm.. Elvileg mindent megtettünk... Feltöltöttem a javított tartalmat egy másik tárhelyre is. ott a Chrome rendesen hozza az oldalt, a rendes tárhelyen továbbra is támadónak titulálja... A felülvizsgálati kérelmemre azt írták, hogy néhány hét... Van még valami tipped esetleg, hogy lehet ezt meggyorsítani?

[BlackY]

Milyen felülvizsgálati kérelem? :think:

Nálam a támadó oldalnak titulálás azonnal eltűnt, amint a blokkolt domainre való hivatkozás (egy javascript, ami behúzott egy js filet arról a domainról) ki lett szedve a kimenetből (több száz fájlba írta be magát a szerver oldalon, ha csak egyben is ott maradt, ott volt minden oldalon. A CMS-ek átka )
Amire figyelj, hogy nézd át a teljes könyvtárrendszert és minden fájl ellenőrizz (a leggyorsabb, ha a fájlokat utolsó módosítás szerint rendezed, akkor csak azokat nézed meg, amik "túl újak") és szedj ki belőlük minden idegen kódot, amivel én találkoztam egy jó kis backdoort rakott rengeteg fájlba. Így bármikor újra fertőzhetnek.

BlackY