Заражение сайтов по FTP

[Alibobaevich]

поищите бекдоры на сайте, сравните те файлы, что находятся на сервере с теми, что Вы заливали, поищите явно не ваше. даты изменения/создания файлов сверте… возможно при первом заражении у вас оставили бекдорчик. тут смена фтп пароля уже не поможет.

[odionysus]

Сравнивал, почти все файлы html в директориях первого и второго уровня имели вредоносный iframe. Удалял его.

[Alibobaevich]

а сервер юниксовій? попробуйте ls -Ral > list.txt
это сохранит полный список файлов и папок на сервере в list.txt — можно его просмотреть на наличие «подозрительных файлов»

можно еще:
grep -R 'eval' *
может шел найдете.

[itspoma]

а preg_replace('/../e') ?)
а $a($b)?
и способов внедрить код, чтобы никто его не нашел — туча )

[Alibobaevich]

не спорю. вообще скриптом или греепом сложно такое найти, шифровать код сейчас умеют хорошо. тут надо уже глазами смотреть, и не факт что найдешь — нужен наметанный глаз.

[odionysus]

Это шаред хостинг.

[Alibobaevich]

в пхп скрипте:
echo `command`;
где command — линуксовая комманда

или перловым cgi скриптом. принцип тот же.
если ни то ни то не работает, то комманды можно кроном запустить

[V2NEK]

Не храните пароли в тотал коммандере.

[Alibobaevich]

и в файлзилла и в cuteftp. трои умеют из многих фтп клиентов вытягивать пароли, а если копнуть поглубже — то им пофигна клиент — зачастую подменяют системные дллки, которые используют фтп клиенты.

[odionysus]

Храню лишь в KeePass. Так понимаю, что это тоже не следует делать.

[Razunter]

да пароли вообще хранить нельзя. Скоро трояны научатся считывать их прямо из памяти пользователя. Поэтому делать надо всё раз и на всегда! Зайти, сделать, сменить пароль на случайный, и никогда больше не возвращаться.

[fStrange]

из кипы вроде не вытягивают
Вы лучше скажите Тотал юзаете?

у меня проблема возникала у пяти клиентов. У всех через трояна к Тоталу.

[odionysus]

Да. Но там не храню. Последний раз юзал WinSCP.

[Lysy]

и не только в тотале, сталкивался с ситуацией, когда пароли были украдены из файлзиллы, при том, что из коммандера ни один не засветился.

[lifestar]

не в этом дело. В момент отправки пароля он перехватывается. И не важно, хранился ли пароль или был введён вручную

[xpoison]

Если эта машинка по xNIX и она уже дискредитирована, то все что вы можете сделать, это полностью переустановить систему.

[Alibobaevich]

а если хостинг шаред? волне возможно что не все так плохо. ну где-то оставил пермиссии в 777, где-то ну удалил файл, поставил дырявый плагин… зачем же переустанавливать систему то?

[Alibobaevich]

так же методы которыми использовали Ваш вебсайт разные, это может указывать на два разных хака, а значит вполне возможно что хакают Вас через одну и ту же дырку разные хакеры. используете цмс или блог какой-то? вполне возможно что вас имеют боты через незыкрытые или свежие дырка веб-прог, установленных на вебсайт.

[odionysus]

Нет, работает полностью мой движок. Он логирует все подозрительные запросы. Логи пересматривал, были попытки подмены переменных т.д. Но я думаю это обычное дело для сайта. Если дыра в движке есть то я про нее не знаю. Но думаю это маловероятно.

[Vertex]

fckeditor или tinymce ломаный не стоит случаем?.. :)

[cronfy]

Вот хитро*опые, а.

Действительно, проверьте в скриптах, не оставили ли дырку. А может, дырка уже была. Логи посмотрите, не было ли каких-нибудь странных запросов.

[V2NEK]

Запросите у хостера последние логи фтп сервера, чтобы убедиться действительно ли через фтп лили индексы, и htaccess. Соответственно если в логах нет — проверяйте скрипты.

[odionysus]

Благодарю за мысль. Cpanel их не предоставляет ( странно ). Хостеру написал запрос. Жду утра.

[LAT85]

что за движок? самописный или типовой? и ссылку на сайт в студию.

[odionysus]

azovelektro.com/

[LAT85]

ну если самопис, по моему скромному мнению, проблема с бОльшей степенью вероятности связана с проникновением через кражу пароля с помощью вируса, хотя есть еще вариант с дырой на хостинге, но вроде все чисто, больше зараженных сайтов незаметно www.bing.com/search?q=IP%3A93.190.40.193&first=61&FORM=PERE5

Антивирусы нашли что-нибудь? Пароли от фтп только у Вас?

[odionysus]

Не нашел. Да, никому не сообщал.

[itspoma]

проверьте cron записи.
возможно запущен demon (если серв под линуксом), или скрытый ntfs: поток (если серв вод windows), который обновляет htaccess/index/etc каждый N минут.
также проверьте открытие порты на сервере.
ну и эщо раз, вручную, проверьте на присутствие бекдоров в коде.

[Nc_Soft]

смотрите логи заходов по фтп

[nitro80]

Как вариант — ломают на хостинге другой сайт.
Если хостинг настроен криво — то вполне вероятен такой вариант. Попробуйте на пару дней перенести на другой хостинг.

[Dipp]

На хостингах ht-systems.ru однажды большинство сайтов заразились iframe'ом. Возможна проблема как раз в нём (хостинге).

[NemeZZiZZ]

Расскажу потрясную историю, в которую сложно поверить — но имена и названия озвучивать не буду.
В начале 2007 работал в конторке по «нашлёпке» сайтов. Постоянно возникала проблема подобной Вашей же: не так часто, но периодически довольно приличное количество сайтов были разом заражены. Директор верещал, программист был в тупняке — и не находил более разумного решения, чем просто чистить создаваемые каждый раз iframe'ы и шеллы. Проблем он больше не находил — имхо, в такой ситуации было проще заподозрить живого человека из компании, чем разумный вирус.
… пока внезапно он случайно, в очередной раз шерстя FTP, не вышел на уровень выше рута сайта — естественно, в FTP-клиенте он увидел кучу папок с хостящимися сайтами… в каждую из которых он смог зайти… в каждой из которой мог править файлы. ШОК? Фигня! Шок наступил тогда, когда сообщили хостеру — а он рукой отмахнулся, мол, фигня, не может так быть. Я уж и не знаю, разрешилась ли ситуация как-нибудь, но хостера при мне никто не меняли — а я в шарашке надолго не задержался.
Суть в том, что через какой-то сайт атакующий получал доступ, выходил на уровень вверх — и творил ужасное со всеми сайтами хостера.

[dohlik]

Такие истории бородатые админы рассказывают друг другу шепотом, сидя у костра или с фонариком в палатке :))

[NemeZZiZZ]

Скажем автору топика, что во всём виноват чёрный хакер и тоян на колёсиках?

[Andrey_Rogovsky]

Ребята, FTP кидает пароли открытым текстом! Их могут проснифферить в локалке.
Все нормальные хостеры уже давно перешли на sftp/scp

[jeje]

Поддерживаю, была таже проблема, перешли на sftp горя не знаем.

[odionysus]

Хостер не поддерживает этот протокол =(

[realise]

То есть, как бы, ежики плакали, кололись… но продолжали пользоваться дешевым говнохостингом?

[nitro80]

Хороший хостинг обязательно дорогой?

[VolCh]

Ждём троянов, перехватывающих не логин/пароль с локальной машины, а сертификаты?

[DNovikov]

С подобной проблемой наша ТП сталкивается ежедневно. Ищите на сервере скрытые скрипты. Ох очень сложно бывает все вычистить. Могут быть где угодно и называться как угодно.

[odionysus]

Попробую.

[netAn]

Нас в 2008 году постигла эта зараза. Работа головного офиса встала практически на 3 дня. Dr WEB радостно пропустил мимо себя заразу.

Картина была потрясающая — захожу на сайт клиента, и ровно через 30 секунд Синий Экран Смерти. Почти идеальная деструктивность.

Вирус прятал свой шелл на третьем уровене вложенности, в папке с картинками — назывался stat.php (232kb), защищенный обфускатором.

Имел свойство hidden. В тотал-командере его удалось увидеть после включения в главном меню Net — FTP Show Hidden Files.

Есть ещё шелл dir.php (очень простой) — файл-менеджер, позволяющий лазить по другим сайтом хостера.
Кстати, год назад многие хостеры имели уязвимость, позволяющую через свой аккаунт залазить на чужие :(
В этом году мы намулчались так с немецким хостером, после чего уговорили клиента переехать к нам на сервер.

[SidexQX]

Сталкивался с проблемой… Внимательно просомтрите есть ли загрузка файлов на сервер, возможно вам чёт загрузили и выполнили, шелл какой нибудь… Ещё был эпизод, что сам фтп клиент оказался заражен и при запуске отправлял обновлённые пассы куда то)) Решается полным его вынесением с экспорт/импортом паролей… Иногда бывает виноват и хостер=))

[Xenkok]

ммм… была такая же проблема, почитстил от ифремов, сменил пароль и все ок.

А чем вы пользуетесь тогда для загрузки файлов на сайт? и как храните пароли?

[odionysus]

Для загрузки — WinSCP в режиме FTP. Пароли храню в KeePass.

[Vertex]

Как я уже отписал выше, проверьте fckeditor и tinymce, если они установлены, да и как отписал SidexQX — проверьте загрузку файлов на сервер. И основное в этих всех комментариях — не пользоваться гавнохостингом… Отключите все команды в PHP типа system и т.д. Была та же проблема на серверах… После отключения и прошерстки fckeditor-а и т.д. все проблемы ушли…

[Alibobaevich]

ну как, есть результаты? ответ от хостера?

[odionysus]

Абьюз-тим сказал что у них зарегистрировано лишь имя, хостятся не у них. Написал именно хостеру. Ответа не поступило. За то при повторном заражении .htaccess начал редиректить на другой сайт.

[tass]

Была подобная же проблема, когда надоело чистить и искать дыры просто залили файлик .ftpaccess, где жестко прописали все адреса (в некоторых случаях правда пришлось писать подсеть), которые должны были иметь доступ к фтп. Помогло на раз

[nitro80]

А за это спасибо, читаю яндекс, красивая штука