Все приплыли. Сломали сайт. Shop-Script

Vovastik

08/05/2008

Вчера закончил внесение изменений (не в код, а в наполнение сайта). Сегодня утром (это пинзец какое-то), заметил что при открытии index.php, происходит попытка перехода на совершенно другой сайт, мой антивирь соответственно ловит вирусяку на другом сайте. ПОробую смотреть что за хрень. И обнаруживаю что почти во всех PHP в самом конце кода прописана ссылка на другой сайт.
Есть ли вариант автоматически прошерстить все PHP и вычестить эту хрень. Или все же придется пререустанавливать Shop-Script да еще и не в одном месте(бля у меня мультидомен).
Куда смотреть? Поможете?
P.s. Второй раз наступаю на одни и те же грабли (правда в первый раз заменили только html.) видно не чему не научился.

, пароли уже сменил.

Ответить

Kiril

08/05/2008

Видимо стырили доступ к фтп. Неизвестно, что и куда было прописано, поэтому лучше переустановить. А базу залить старую (которая уже заполненная и с товарами).

И никогда больше не сохраняйте пароли в компьютере!

Ответить

Kiril

08/05/2008

Сорри, почему-то сообщение дублировалось.

Кстати, скрипт тут, наверное, не при чем.

Ответить

rw31

08/05/2008

Не сохраняйте в фаре и тотал коммандере. да и вообще лучше не сохраняйте пароли от фтп нигде в клиентах.

а почистить - можно скрипт написать, он будет искать конкретные строки и удалять их из файлов. Строка же вируса везде одинаковая...

Ответить

khaimovmr

10/05/2008

Поддерживаю rw31. Была аналогичная ситуация. Решилось дело сменой пароля на фтп и добавкой к скрипту кода, выявляющего подозрительные изменения в index.php и отправляющего, в случае чего оповещение на e-mail администратора.

PS: рекомендую сохранить зараженный файл до вмешательства веб-мастера.

Ответить

khaimovmr

10/05/2008

Может помочь: этот вирус представлял из себя несколько "левых" строк вписанных в начало index.php.

Ответить

rw31

10/05/2008

Обычно вирус дописывает строки в конец кода...

Ответить

altsupport

11/05/2008

Тут больше похоже что через хостера.
Но и вариант что ваш компутер заражен тоже возможен.

Ответить

WiseMike

12/05/2008

altsupport:

Но и вариант что ваш компутер заражен тоже возможен.

Чтобы хоть как-то минимизировать вероятность повторного "взлома" попробуйте не использовать простые и одинаковые пароли и хранить их в какой-либо из программ по управлению паролями. Например, мне нравится вот эта http://keepass.info/ Я имена пользователей храню в ftp-клиенте, а пароли вставляю из keepass программы. Очень удобно. Буфер обмена при этом защищен и возможна только одна вставка.

Ну и скрипт для слежения за целостностью файлов на сервере, тож не лишним будет. Поищите или модифицируйте мод. от WordPress. Не помню как называется, следит за хеш-суммой файлов.

Ответить