[3.8.x]

Похоже залили shell на форум - vBulletin® v3.8.6 Patch Level 1

обнуружил на webmaster.yandex

HTTP-статус: Внутренняя ошибка сервера (500)
20 страниц

кликаю на страницу вида

/4620-offtopic-104.html?mode=threaded

меня быстро редиректить и показывают дорвей (возможно несколько редиректов)
__http://ad.leadbolt.net/adblock?section_id=862283204

показывает только 1 раз и если реферал поисковая система, как я понял, вбив в адресную строку урл форума в этом формате, дор не возникает (комп на вирусы проверял, не обнаружено)

через ssh подключился и прошерстил форум
grep -r -i -e 'leadbolt' *.*

ничего не нашел, оно и понятно, скорее всего как то по другому называется
на сайте стоит vbseo 3.5.1 , патч секурный установил сразу же с этого форума, как получил рассылку о дырке

помогите найти кровопийцу, видимо прикол в этом ?mode=threaded и сидит он где то там

vbseo - одна большая дыра

Originally Posted by aressto

показывает только 1 раз и если реферал поисковая система

знакомые симптомы...
http://vbsupport.ru/forum/showthread...964#post380964
в посте рассказано, как устранить код
проблему с безопасностью и дырами в сео надо решать отдельно

проширстил все файлы на "base64" ничего криминального

Оффтоп

attachment.php: $filedata = base64_decode('R0lGODlhAQABAIAAAMDAwAAAACH5BAEAAAAALAAAAAABAAEAAAICRAEAOw==');
attachment.php: //$filename = "filename==?$stylevar[charset]?B?" . base64_encode($filename) . "?=";
cron.php:$filedata = base64_decode('R0lGODlhAQABAIAAAMDAwAAAACH5BAEAAAAALAAAAAABAAEAAAICRAEAOw==');
includes/class_mail.php: if (!$this->sendMessage(base64_encode($this->smtpUser), 334) OR !$this->sendMessage(base64_encode($this->smtpPass), 235))
includes/functions.php: $string = base64_encode($string);
includes/functions.php: return ($decode ? base64_decode($return) : $return);
includes/class_dle_parse.php: $url['html'] = $config['http_home_url'] . "engine/go.php?url=" . rawurlencode( base64_encode( $url['html'] ) );
includes/class_dle_parse.php: $url = base64_decode( $url );
includes/functions_file.php: //$filename = "filename==?$stylevar[charset]?B?" . base64_encode($filename) . "?=";

в mysql: /datastore/pluginlist

не нашел ни base64, ни yandex, google других слов

Originally Posted by aressto

в mysql: /datastore/pluginlist
не нашел ни base64, ни yandex, google других слов

я не утверждала, что ваш случай - именно тот, что описан
симптомы очень похожи
google и прочее искать бесполезно - это не лежит в открытом виде
а если во время поисков пересохранили какой-нибудь модуль, то и кода в БД уже нет

точнее сказать ничего нельзя - нужно смотреть

про mode=threaded: яндекс почему-то любит индексировать древовидный вид и часто в поисковой выдаче именно такие ссылки выше, чем ссылки на обычный вид темы

Originally Posted by Luvilla

про mode=threaded: яндекс почему-то любит индексировать древовидный вид и часто в поисковой выдаче именно такие ссылки выше, чем ссылки на обычный вид темы

Да, это правда, отключу его. Или запрещу на индекс.

Originally Posted by Luvilla

а если во время поисков пересохранили какой-нибудь модуль, то и кода в БД уже нет

Нет, ничего не пересохранял.

Проширстил всё по
mode=threaded
опять же вроде ничего криминального

Оффтоп

install/vbulletin-style.xml: <td class="vbmenu_option"><img class="inlineimg" src="$stylevar[imgdir_button]/mode_threaded.gif" alt="$vbphrase[threaded_mode]" /> <a href="showthread.php?$session[sessionurl]p=$FIRSTPOSTID&amp;mode=threaded$highlightwords#post$FIRSTPOSTID">$vbphrase[switch_to_threaded_mode]</a></td>
install/vbulletin-style.xml: <div><img class="inlineimg" src="$stylevar[imgdir_button]/mode_threaded.gif" alt="$vbphrase[threaded_mode]" vspace="1" /> <if condition="$show['threadedmode']"><strong>$vbphrase[threaded_mode]</strong><else /><a href="showthread.php?$session[sessionurl]p=$FIRSTPOSTID&amp;mode=threaded$highlightwords#post$FIRSTPOSTID">$vbphrase[switch_to_threaded_mode]</a></if></div>

aressto добавил 13.04.2012 в 21:50
Нашел классную штуку, http://revisium.com/ai/
AI-Bolit — это уникальный бесплатный скрипт для поиска вирусов, троянов, backdoor, хакерских активностей на хостинге.

Протестил, нашел у себя старый неработающий залитый шелл в DLE

в VB ничего не обнаружил неприятного

Подскажите как решили данную проблему?Сегодня в yandex webmasters обнаружил такие же страници их около 300 попробовал их открыть,не открываються,просто белый экран и долго грузиться страница.

Palamar, есть стандарная функция проверки файлов. Когда ее запустите увидите файлы которые принадлежат к вобле, а какие нет. И какие изменены.

Kurbatov добавил 20.01.2013 в 16:38
Забыл, файл tools.php

Originally Posted by Kurbatov

есть стандарная функция проверки файлов. Когда ее запустите увидите файлы которые принадлежат к вобле, а какие нет.

не всё так просто
штатная проверка - только в папках воблы
если лежит отдельная папка, не вобловская, штатная проверка её игнорирует
если нуль от DGT, то их валидатор шерстит всё подряд

Originally Posted by Palamar

попробовал их открыть,не открываються,просто белый экран и долго грузиться страница.

браузером открыть? а зачем? если это на твоём домене, то есть, у тебя лежит - через фтп посмотри, что это за звери
если на форумной странице редирект куда-то на сторону - тут масса советов, что искать и как искать

кинь в личку примеры, что там за страницы

Originally Posted by Kurbatov

сть стандарная функция проверки файлов. Когда ее запустите увидите файлы которые принадлежат к вобле, а какие нет. И какие изменены.

Kurbatov, для этого у меня стоит инспектор файлов.

Palamar добавил 20.01.2013 в 18:57

Originally Posted by Luvilla

кинь в личку примеры, что там за страницы

Luvilla, скинул ссылки в личку