Друзья! Взываю к вам с надеждой. Ибо заколебался бороться.
У меня есть два сайта. Оба на рбк хостятся, но на разных аккаунтах. На обоих есть форумы 3.8.6, скачивал здесь пару лет назад, русифицированные. Никаких примочек кроме кей-каптчи не ставил.
Периодически обнаруживаю в корне обоих сайтов всякий злобный мусор. На сей раз это был модифицированный роботс.тхт, куда добавили строчку Sitemap: http://ххххх.ru/j.php?p=sitemap ну и собсно говоря сам файл j.php в base64
Примерно в этом духе были и предыдущие безобразия.
Удаляю, меняю пароли, но через какое-то время ситуация повторяется. В ФТП-клиенте много сайтов, но пакостят именно там, где стоят форумы. То на одном, то на другом. Но никогда сразу на обоих ) В общем есть подозрение на дыру. Может в этой версии форума быть какая-то засада? В каком направлении копать? Мож че удалить надо из файлов что не удалил? Один сайт уже попал в черный список из-за этого. Хелп!

версия 3.8.6 нЕ патченая?
там огромная дЫрА в faq.php "подареная" новыми разработчиками - в одной из фраз, выводятся данные для доступа к БД форума: хост/логин/пасс
на форуме есть парочка тем, как пофиксить это
==
собсно нужно удалить только 1 фразу в английском языке
ну или перезалить файл инглиша, в котором вырезана фраза

Эту дырку я сразу пропатчил. Может что не так сделал? Там вроде как-то проверялось ссылкой ххх/faq.php с каким-то параметром, по-моему как раз фразой этой...
Да, я язык английский удалил совсем. С этим как-то может быть связано?

Сейчас логи посмотрел фтпешные - там операции с файлами не значатся такие, не по фтп заливали.

Serge714 добавил 12.01.2013 в 05:29
Вбил в поиске по справке "database" - нет совпадений. Пропатчен. Да и язык английский я тогда как раз по этой причине и удалил, на всякий случай.

какие еще хаки на форуме?
пхпинфо: register_globals=on/off ?

Originally Posted by kerk

пхпинфо: register_globals=on/off ?

register_globals=ON? Ваш сайт в опасности!
Сам только вчера узнал, и исправил.

Originally Posted by Serge714

У меня есть два сайта. Оба на рбк хостятся, но на разных аккаунтах. На обоих есть форумы 3.8.6, скачивал здесь пару лет назад, русифицированные. Никаких примочек кроме кей-каптчи не ставил.

По-мимо форума какое ПО еще стоит?

Проверяли сумму мд5 всех скриптов воблы?
Мб у вас бекдорчик прост где-то зашит??

Попробуйте поставить чистые дистрибьювы 3.8.7 пл 2, на существующую базу и проапдейтить, но будьте аккуратней при копировании папки имейджев старой, имги - одно из самых любимых мест для шеллов и всякого рода беков)

register_globals Off Off
Дистрибутив 3.8.6 и русификацию качал тут на форуме.
KeyCAPTCHA 3.6.0 стоит, больше ничего не ставил дополнительно.

Originally Posted by Serge714

Дистрибутив 3.8.6

Обновитесь до 3.8.7 Pl3

если шелл уже присутствует, обновление не поможет

1. проверить модули, именно модули, не продукты - ничего лишнего нет?
2. запустить штатную диагностику, она прекрасно ловит изменённые файлы
3. Скрипт для поиска вредоносного ПО "AI-Bolit"
4. прочие штатные меры, смена паролей, просмотр логов действий в админке...

Проверил вручную ВСЕ файлы форума во всех папках - везде даты на момент установки форума.
Заодно и все остальные на хосте просмотрел, благо их немного и статика. Чисто.
Доступ по ftp исключается - в логах нет сессии.
Что остается?
1. Шелл в исходнике форума. Но качал его тут, значит не я один такой бы был.
2. Есть какая-то заводская дырка, которую кто-то юзает. Но опять же, давно бы стала известна.
3. Непонятно как кто-то залез на хост, установил шелл, отработал, потом удалил шелл.