Всем привет.
Захожу сегодня на свой форум и вместо форума вижу вот такой вот текст:

Warning: require_once(func.php) [function.require-once]: failed to open stream: Нет такого файла или каталога in /home/users1/*/****/****/****.ru/includes/config.php on line 192

Fatal error: require_once() [function.require]: Failed opening required 'func.php' (include_path='.:/usr/local/zend/share/pear') in /home/users1/*/****/****/****.ru/includes/config.php on line 192
----------------------

С сайтом манипуляций никаких не делал. Это вылезло само по себе.
config.php на месте и не изменялся. Ранее всё работало.

Не могу понять что это за муть :(

в конфиге смотри, есть там подключение файла func.php?
если есть удаляй, это не воблы файл
и смотри логи доступа, может кто то пытался ломануть ресурс и подключить свои файлы
==
и еще
темы с такими названиями, обычно улетают в помойку

Что там в конфиге в 192 строке у вас прописано? в конфиге по идее всего строк 188 примерно.

без разницы количество строк, код файла может быть отформатирован по разному

kerk, Возможно. я просто смотрю лицензию, на ее основе и говорю. Хотя я последнее время с загрузкой в работе часто туплю))

Йохарный бабай... Только хакеров мне не хватало.

kerk
Очень благодарю за ответ! Форум робит.
Ведь и правда же в конфиге.пхп в конце приписано require_once 'func.php';
Последнее изменение файла было чёрт знает когда, но видимо если старая дата, это не значит что файл не изменялся.
Посмотрел файл конфиг.пхп из бэкапа базы данных - не было там подключения func.php

Если не затруднит тебя, не мог бы подробнее рассказать вообще всю соль этой 'func.php'? Каким образом её могли внедрить в мой конфиг.пхп и для каких конкретно целей она служит?
Спасибо ещё раз.

я знаю точно, что в тройке нет и небыло файлов с таким именем
как он оказался подключенным в конфиге, нужно смотреть логи доступа (дежавю? писал же уже...)

Да нет, то что нужно смотреть логи я понял с первого раза.
Просто думал может это уже известный хакерский трюк, который использует определённую уязвимость в 4-ой булке.
У меня много посетителей на ресурсе, вдруг заразу подхватили какую-нибудь...

Я сам начинающий админ по сути, пока что только набираюсь опыта.
Посмотрел лог доступа (*******.ru_access.log), конфиг.пхп там только единожды упомянается (айпи - не из моей подсети):
109.187.244.190 - - [14/Mar/2012:15:24:11 +0400] "GET /includes/config.php HTTP/1.0" 200 528

Что собственно это мне даёт? Эта запись в логе означает что пользователь с айпи 109.187.244.190 - злобный хакер?)

судя по записи лога, запрос файла конфига был тупо из браузера и ответ сервера был 200 (ок)
по хорошему, нужно вообще в этот каталог запретить смотреть из инета
http://whois.domaintools.com/109.187.244.190

kerk
Ну я конечно ещё гамно-админ, да, признаю. Не позаботился о должной защите.
Пожалста, подскажи мне гамно-админу как запретить смотреть этот каталог?

Пока только такие сведения нашёл:

Тут инструкция по защите конфига. Но статью изрядно раскритиковали...
http://vbsupport.ru/forum/showthread.php?t=39592

Вот ещё цитата с одного из форумов:

...Так же стоит подумать о запрете листинга каталогов (листинг - это просмотр в браузере содержимого папок форума). Если листинг на форуме разрешен, то злоумышленник без проблем сможет увидеть названия папок вашей админки (это не самое страшное). Для того чтобы запретить листинг во всех каталогах форума нужно в корневом файле .htaccess прописать директиву:

Options -Indexes

-------------------------------------------------

Как мне оптимально поступить в моей ситуации? Что где прописать?