anyxem Jul 1 2008 at 12:05

JavaScript вирусы

1 min

4.1K

Lumber room

+15

Comments 23

Qetzal Jul 1 2008 at 12:22

Нужно работать над причиной, а не последствиями.

Для начала вам нужно определить, как именно происходят эти атаки.
Вероятных причины две:

1) Взлом через соседний аккаунт.
Посмотрите, под каким пользователем работает PHP, нет ли 777 permissions на папках/файлах.

Тут решение или менять хостинг или выставлять правильные permissions: без 'w' флага.

2) Взлом через пользователя. Чувак сохранил FTP пароли в своем FTP клиенте, потом подхватил вирус.
Вирус ворует пароли - модифицирует все файлы.
Проверьте логи FTP.

Решение: разговор с пользователем о недопустимоcти сохранения паролей, антивирус со свежей базой, возможно блокирование IPs с которых идет атака(как временное решение).

anyxem Jul 1 2008 at 12:26

второй пункт ближе к моей ситуации. мы и так делаем все что можно чтобы предотвратить утечки, но за представительствами и клиентами уж не уследить. а за блокировку по IP спасибо.

sokiche Jul 1 2008 at 12:38

Аналогичная ситуация. Также склоняемся ко второму варианту.

diesel Jul 1 2008 at 13:18

По опыту этот самый троян пер пароли из Total Commandera. Намучившись с таким положением вещей, запретили пользователям хранить пароли в прогах типа Total Commader и все проблемы исчезли тьфу тьфу. Ну и еще вас спасет антивирус ;)

quark Jul 1 2008 at 13:56

Второе было раза два - один юзер с вирусом был вот оно и воровало пароли на ФТП...
Юзер пошел лесом, ибо антивирусник после первого раза установить не удосужился.
Проблема исправляется банальной шелловой командой, но, сцуко, неприятно...

habracut Jul 1 2008 at 12:39

Спасибо за подсказку ж)
Tеперь злоумышленникам ничто не помешает написать:

*/ ?> <script>

prosto_dima Jul 1 2008 at 12:49

Если бы я писал этот вирус, то подключение делал бы именно так. Например, в Zend Framework, не принято закрывать php-код.

anyxem Jul 1 2008 at 13:12

хм. тут меня мысль посетила. наверно тупо, но все же. а что если в конце кода писать exit;
но все равно загрузчики есть разные. бывать что и в середину кода прописываются.

в любом случае "болезнь проще предупредить чем лечит"

В CodeIgniter 1.6.2 тоже не закрывается код.

prosto_dima Jul 1 2008 at 13:17

Опять же про инклуды не надо забывать, дописанный exit может оказаться в подключаемом файле. Так что вывод про лечение проще и правильнее;)

Devgru Jul 1 2008 at 13:34

Код почти никто не закрывает, это нормально.

quark Jul 1 2008 at 13:57

Может не exit, а return?..

UFO just landed and posted this here

iDrum Jul 1 2008 at 13:25

заболела рука, отрубили, ведь есть другая рука.

nooze Jul 1 2008 at 13:21

Пишите в конце скрипта die();
Это будет 100% вариант от роботов :)

-3

anyxem Jul 1 2008 at 13:26

нельзя. сам так подумал меня поправили.

UFO just landed and posted this here

Hest Jul 1 2008 at 14:35

в тотале всем тоже запретил пароли держать. .ftpaccess тоже по папкам разложил.

1x1 Jul 1 2008 at 15:53

Уже несколько раз через стянутые пароли наших пользователей меняли их файлы; и всегда вирусные скрипты (все файлы криптованы разными ключами) добавлялись после тэга .