[3.8.x]

Схватил я хитрый редирект в булке, которым , судя по гуглу многие болеют.
Сначала яндекс (занулив все страницы в индексе), потом гугл (более грамотно, выдается страница с варнингом) оповестили меня что на сайте вредоносный код. При чем какой - неизвестно. При чем хитрый, то появляется то нет. Потом я прочитал что есть такие редиректы, которые реагируют именно на ботом Google/Yandex/Yahoo и тд.
стоял старый vbseo с апдейтом, который выложен на этом форуме, борда была 3.8.6.
Проапдейтил всё до последнего vbseo 3.6 + patch, vb 3.8.7 pl2
проверил ai-bolit скриптом, ничего не нашел

через неделю я опять получил от яндекса сообщение что вирус до сих пор появляется на сайте, связался с суппортом, они мне показали из каких мест было перенаправление - это обычные разделы форума

Читал об этом в
https://www.vbulletin.com/forum/show...irect-Solution
http://www.theadminzone.com/forums/s...d.php?p=597122

Искал через ssh:

# find . -type f -exec grep "0x601cx2" {} \;
# find . -type f -exec grep "eval(function(p,a,c,k,e,d)" {} \;

Я уже всё обыскал, куда этот гад мог прописаться я не пойму, прочитал все что было в гугле - не могу отдедектить.
Единственный подозрительный кусок я обнаружил в модуле photoplog, файлы
./photoplog/highslide/highslide-html.packed.js
./photoplog/highslide/highslide.packed.js
Но похоже что это легитивные файлы.

eval(function(p,a,c,k,e,d).....

Помогите, я уже весь измотался. Ведь проклятый редирект работает не всегда, а только если зайти на сайт через гугл, еще и не всегда срабатывает, а только 1 раз.

Originally Posted by aressto

Читал об этом в

а тут? http://vbsupport.ru/forum/showthread...964#post380964

Originally Posted by aressto

куда этот гад мог прописаться я не пойму

напрямую в БД, через ПМА, искал? таблица datastore, строка pluginlist

дыра в вбсео
код прописывается в таблицу датастор
открыть любой модуль на редактирование и сохранить не изменяя
вирус пропадет...
но на какое то время, т.к. разрабы вбсео не чешутся и дыры не латают

Originally Posted by Luvilla

а тут? http://vbsupport.ru/forum/showthread...964#post380964


напрямую в БД, через ПМА, искал? таблица datastore, строка pluginlist

Да, этот пост читал. И пробовал - нет, ничего такого.

aressto добавил 10.06.2012 в 18:47

Originally Posted by kerk

дыра в вбсео
код прописывается в таблицу датастор
открыть любой модуль на редактирование и сохранить не изменяя
вирус пропадет...
но на какое то время, т.к. разрабы вбсео не чешутся и дыры не латают

по ссылкам в гугле пишут что такой же редирект у сайтов без vbseo, вебмастера подтверждают
в датасторе ничего нет такого :(

htaccess есть в корне форума/сайта?
открой и прокрути его до самого низа, что там есть?

если редирект срабатывает только один раз за сессию браузера, вирус ставит куки vbs1 или ipb1 или что то подобное
есть такике кукисы при переходе из поисковика?

.htaccess проверил первым делом, там ничего нет подозрительного:

RewriteRule ^((urllist|sitemap).*\.(xml|txt)(\.gz)?)$ vbseo_sitemap/vbseo_getsitemap.php?sitemap=$1 [L]

RewriteCond %{REQUEST_URI} !(admincp/|modcp/|cron)
RewriteRule ^((archive/)?(.*\.php(/.*)?)?)$ vbseo.php?vbseourl=$1&uri=%{REQUEST_URI} [L,QSA]

RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteCond %{REQUEST_FILENAME} !^(admincp|modcp|clientscript|cpstyles|images)/
RewriteRule ^(.+)$ vbseo.php?vbseourl=$1&uri=%{REQUEST_URI} [L,QSA]

Такого кука не остаётся в браузере. Проверил. Все куки проверил, все легитивные.

скорее всего это то что у меня было, гадость еще та

Originally Posted by aressto

Такого кука не остаётся в браузере. Проверил.

хм...
можно ссылку на форум? (в ЛС, если это великая тайна)

Originally Posted by AggreSSor

скорее всего это то что у меня было, гадость еще та

как вылечил?

пост "у меня тоже в прошлом году болело левое ухо" имеет ценность в блогах/социалках
здесь имеет ценность пост "у меня было, вылечил так: ..." Остальное - просто флуд

Luvilla, ну насколько я помню, то вы мне помогали его лечить, поэтому подробно описать врядли смогу

Originally Posted by AggreSSor

то вы мне помогали его лечить, поэтому подробно описать врядли смогу

Аааааа.... Семён Семёныч.... Точно! спасибо, что напомнил)
но вообще я тебе рассказывала, что там было

Код был добавлен напрямую в БД (видимо, по тому же принципу, что добавляют плагин в datastore, через ту же дыру в сео), только в таблицу template
aressto, поиск по таблице template прямо через ПМА - пробовали?