JavaScript вирусы

[Qetzal]

Нужно работать над причиной, а не последствиями.

Для начала вам нужно определить, как именно происходят эти атаки.
Вероятных причины две:

1) Взлом через соседний аккаунт.
Посмотрите, под каким пользователем работает PHP, нет ли 777 permissions на папках/файлах.

Тут решение или менять хостинг или выставлять правильные permissions: без 'w' флага.

2) Взлом через пользователя. Чувак сохранил FTP пароли в своем FTP клиенте, потом подхватил вирус.
Вирус ворует пароли - модифицирует все файлы.
Проверьте логи FTP.

Решение: разговор с пользователем о недопустимоcти сохранения паролей, антивирус со свежей базой, возможно блокирование IPs с которых идет атака(как временное решение).

[anyxem]

второй пункт ближе к моей ситуации. мы и так делаем все что можно чтобы предотвратить утечки, но за представительствами и клиентами уж не уследить. а за блокировку по IP спасибо.

[sokiche]

Аналогичная ситуация. Также склоняемся ко второму варианту.

[diesel]

По опыту этот самый троян пер пароли из Total Commandera. Намучившись с таким положением вещей, запретили пользователям хранить пароли в прогах типа Total Commader и все проблемы исчезли тьфу тьфу. Ну и еще вас спасет антивирус ;)

[quark]

Второе было раза два - один юзер с вирусом был вот оно и воровало пароли на ФТП...
Юзер пошел лесом, ибо антивирусник после первого раза установить не удосужился.
Проблема исправляется банальной шелловой командой, но, сцуко, неприятно...

[habracut]

Спасибо за подсказку ж)
Tеперь злоумышленникам ничто не помешает написать:

*/ ?> <script>

[prosto_dima]

Если бы я писал этот вирус, то подключение делал бы именно так. Например, в Zend Framework, не принято закрывать php-код.

[anyxem]

хм. тут меня мысль посетила. наверно тупо, но все же. а что если в конце кода писать exit;
но все равно загрузчики есть разные. бывать что и в середину кода прописываются.

в любом случае "болезнь проще предупредить чем лечит"

В CodeIgniter 1.6.2 тоже не закрывается код.

[prosto_dima]

Опять же про инклуды не надо забывать, дописанный exit может оказаться в подключаемом файле. Так что вывод про лечение проще и правильнее;)

[Devgru]

Код почти никто не закрывает, это нормально.

[quark]

Может не exit, а return?..

[iDrum]

заболела рука, отрубили, ведь есть другая рука.

[nooze]

Пишите в конце скрипта die();
Это будет 100% вариант от роботов :)

[anyxem]

нельзя. сам так подумал меня поправили.

[Hest]

в тотале всем тоже запретил пароли держать. .ftpaccess тоже по папкам разложил.

[1x1]

Уже несколько раз через стянутые пароли наших пользователей меняли их файлы; и всегда вирусные скрипты (все файлы криптованы разными ключами) добавлялись после тэга .

[1x1]

... после тэга BODY.

[4all]

Как-то раз попал на сайт каких-то разработчиков, увидел вирус, написал им - в ответ ничего...

[Okspen]

Может, это был сайт разработчиков вируса?

[xxxYURAxxx]

- права на запись
- системы контроля версий

[1999]

самая жеть была когда увидел такой код вот в конце img-файла...... я аж ошалел.... думал они в конец php файлов суют, а оказался полный хардкор)))