Сегодня утром захожу на один из своих форумов, NoScript показывает на нем заперещенный неизвестный скрипт с домена javascript-collection.in. На этом форуме стоял движок 3.8.7 лицензионные и vbseo 3.6.0 (предпоследний вариант, в нем там какие-то уязвимости находили) тоже лицензионный.

Начал искать в интернете, что это такое. Нашел следующее: http://stackoverflow.com/questions/9...154016#9154016 Написано, что так и так, вирус... решение в том случае было найдено в файле includes/functions.php.

Проверил дату последнего изменения всех файлов на аккаунте - на сколько я смог определить файлы не тронуты. Решил на всякий случай перезалить их стандартными, заодно и обновить vbseo. Файлы перезалил, vbseo обновил - результата ноль, скрипт как был, так и есть.

Дальше начал смотреть шаблоны/фразы/модули/плагины.
Нашел в шаблоне footer такой код:

<script type="text/javascript">
<!--
	// Main vBulletin Javascript Initialization
	vBulletin_init();
//-->
</script>

Удалил его и скрипт пропал с форума. Но это я, судя по всему, не все нашел - на сколько я понимаю он содержит в себе какую-то переменную, которая берет откуда-то код. Подскажите, пожалуйста, где мне рыть, чтобы удалить все до конца?

SearchLive добавил 09.02.2012 в 10:58
Таааак... кажется я затупил, таким образом я вообще все скрипты с форума убрал. Но вирус значит так я и не нашел... где его искать, если он javascript?

если заливаешь по новой файлы, то заливай все, вместе с яваскриптами

Originally Posted by SearchLive

Удалил его и скрипт пропал с форума.

Как бы, это не вредоносный код, а часть самого форума.

Originally Posted by SearchLive

где его искать, если он javascript?

Сначала ссылку на форум надо бы дать.

ищи в шабонах <iframe

Hobot добавил 09.02.2012 в 16:46

Originally Posted by SearchLive

стоял движок 3.8.7 лицензионные и vbseo 3.6.0 (предпоследний вариант, в нем там какие-то уязвимости находили) тоже лицензионный.

Originally Posted by kerk

если заливаешь по новой файлы, то заливай все, вместе с яваскриптами

Да, так я вместе с яваскриптом и залил...

Originally Posted by AleX

Сначала ссылку на форум надо бы дать.

Отправил в личку.

Парадокс вот в чем заключается. Вернул обратно в footer тот код, что приведен в первом сообщении и на этот раз больше не вижу не нужного скрипта на своем сайте. Может, хакер читает этот форум и убрал... фиг знает. Но все равно уже ощущения безопасности нет.

Вот такой кусок кода внизу главной страницы - это нормально?

<script type="text/javascript">
//<![CDATA[

window.orig_onload = window.onload;
window.onload = function() {
if (is_ie || is_moz) { var cpost=document.location.hash;if(cpost){ if(cobj = fetch_object(cpost.substring(1,cpost.length)))cobj.scrollIntoView(true); }}

if(typeof window.orig_onload == "function") window.orig_onload();
}

//]]>
</script>

SearchLive добавил 09.02.2012 в 17:14

Originally Posted by Hobot

ищи в шабонах <iframe

Нашлось только в шаблоне humanverify_recaptcha, но там собственно рекапча... ничего подозрительного.

ссылку в личку запили....

Из того, что пока удалось узнать: код выше - это абсолютно нормальный код от vbseo.

Так что пока ищу дальше.... у этого всего должна быть причина.

http://vbsupport.ru/forum/showthread.php?t=42967