Доброго времени суток. Никто не сталкивался с кодом во всех tpl с комментарием ded509? Нашел информацию, что это код спам рассылки. Почистил все tpl и закралось у меня скудное сомнение, что не все так просто, что где-то еще он есть.
Если кто-то сталкивался подскажите где еще искать и как бороться дабы не было больше такого случая.
ded509 script
ЕСТЬ РЕШЕНИЕ
ЗАКРЫТО
#1
13 апреля 2013 в 12:44
#2
13 апреля 2013 в 14:05
Так же нашел код в htaccess
#3
15 апреля 2013 в 08:50
Еще эта пакость обитает в .js и .jpg Пройдись поиском по всем файлам, ища конкретно эту запись в содержимом и увидевший где наследил. Надеюсь пароли ты уже сменил?
Сегодня в 14:56
#4
15 апреля 2013 в 10:38
Aloha, картинки не нашел, 2 js точно сменил 3 или 4 htaccess все tpl. Писали на форумах, что и php прячется, но там не нашел. Буду копать дальше. Пароли сменил после того как вычистил БУК. Если найду еще отпишусь.
#5
15 апреля 2013 в 11:13
Aloha, это просто п***ц все js заляпал. Почти весь сайт чистить надо.
#6
15 апреля 2013 в 13:54
Это уже последствия заражения.Понятно что никаких коментов <!--ded509--> в шаблонах и быть не должно.Никто не сталкивался с кодом во всех tpl с комментарием ded509
Вам внедрили в js исполняемый eval код, обработанный обфускатором.Последстия самые не предсказуемые.
Лечить? Снести и поставить заново, и базу просканировать на наличие скриптов в теле статей, и прочего контента.
Внедренный код h t t p:/ / anthu.com/thu4/
Теоретически могут быть проблемы с подменой кода цвета, не исключено что внедрение может произойти через подмену кода палитры DED509, приводящую к определенной ошибке и возможности внедрить чужеродный код.
Но тогда почему именно этот код цвета а не любой другой?
#7
15 апреля 2013 в 15:07
oll, почему именно сам ХЗ. Проверил на сервисах теперь все чисто если им верить. Жду ответа от платона. Некоторые сервисы показали, что есть скрытые iframe сейчас займусь их поиском. Вот они скорее всего и будут в статьях
#8
15 апреля 2013 в 15:23
Проверил базу вроде чисто. На iframe одно совпадение в блогах пользователь вставлял видео. По ded ничего не найдено. Возможно я немного с кривыми руками. oll, если не сложно как сканить базу?
#9
15 апреля 2013 в 15:31
В самом инстанте нет ни одного фрейма.Поэтому все что касаеться проколов, то это личные наработки вашего шаблона и сторонних разработок для вашего сайта.iframe
Вот поэтому проблема малозначительна.Кто знает о нерешенной проблеме использования iframe, тот и спокоен.
Анализируй код на наличие iframe
Модуль враппер, что аналогичное установлено.Делаеться двумя движениями .
На локал хосте ставиш копию сайта. на второй домен копию дистрибутива инстанта. Запуск программы смерживания файлов.WinMerge или аналогичные, я пользуюсь лицензионной Araxis Merge. По отличию файлов все видно.
#10
15 апреля 2013 в 15:34
oll, спасибо за подсказку. Позже отпишусь по результату
Потом пожалуйста перед закрыванием темы, сделай красивый жест.
Отпишись о наработках по устранению таких проблем.
З… Последнее время только и видиш ЭГОПОСТУПКИ.
Тема закрыта всем спасибо.
Отпишись о наработках по устранению таких проблем.
З… Последнее время только и видиш ЭГОПОСТУПКИ.
Тема закрыта всем спасибо.
#12
15 апреля 2013 в 16:28
oll, ок не вопрос
#13
15 апреля 2013 в 17:22
И так, что было сделано:
— Заменены все файлы htaccess
— Полная проверка всех файлов tpl и чистка их от вредоноснного кода так как все были заражены
— Полная замена папки admin все .js были заражены
— Замена всех файлов в папке includes так же все .js заражены
— Замена mod_rewrite
— Удалил все загруженные картинки на дату заражения
— iframe так и небыли мной обнаружены
— Обязательно проверьте папки шаблонов так как я там встретил htaccess которые там не должны были быть.
Ребята если сказать честно, лечиться полной заменой движка. Такой объем заразы я встретил в первые.
Тему до вечера не закрываю. Возможно еще дополню.
— Заменены все файлы htaccess
— Полная проверка всех файлов tpl и чистка их от вредоноснного кода так как все были заражены
— Полная замена папки admin все .js были заражены
— Замена всех файлов в папке includes так же все .js заражены
— Замена mod_rewrite
— Удалил все загруженные картинки на дату заражения
— iframe так и небыли мной обнаружены
— Обязательно проверьте папки шаблонов так как я там встретил htaccess которые там не должны были быть.
Ребята если сказать честно, лечиться полной заменой движка. Такой объем заразы я встретил в первые.
Тему до вечера не закрываю. Возможно еще дополню.
#14
15 апреля 2013 в 18:01
Не удивительно что ты первороходец.Я кинула по вскидке на поиск DED509 результат выдачи в основном это код палитры цвета.И единственный ресурс начала заражения приведен выше.
В вашем случае ( это надо всем кто сдесь живет)видимо надо постоянно описывать происходящие события, а решения будут принимать по мере их поступления
В вашем случае ( это надо всем кто сдесь живет)видимо надо постоянно описывать происходящие события, а решения будут принимать по мере их поступления
#15
15 апреля 2013 в 18:11
oll, сейчас снова проверял файлы и снова вылазят зараженные и именно те которые я чистил еще утром. Не могу понять в чем причина повторного заражения. Думаю написать хостеру и узнать, что-нибудь у них.