[RichKidOfSnapchat]

#programowanie #webdev na mojej stronie ktoś dodał skrypt. Gdziekolwiek klikne włącza się reklama. Dostałem powiadomienie od google "Złośliwe lub niechciane oprogramowanie" - jak przeskanować serwer w poszukiwaniu wirusa? Co mogę zrobić? #js #serwery #it #informatyka #admin

[Saeglopur]

@RichKidOfSnapchat: Jeśli to Wordpress to infekcja tego rodzaju może być wręcz trwała. Zerknij np. https://pl.wordpress.org/plugins/gotmls/

[MJToshi]

@RichKidOfSnapchat: W którymś z plików pewnie jest kod. Stawiam, że albo footer(stopka) albo header albo htaccess. Najlepiej ściągnąć pliki przez ftp i sprawdzić.

[d.....s]

@RichKidOfSnapchat: To Wordpress? (niestety najczęstszy powód dziurawe wtyczki, brak aktualizacji). Możesz podrzucić stronę na PW.

[RichKidOfSnapchat]

@Saeglopur: @devones: nie, to zwykly html, ale wrzucałem przez FTP (filezilla) na VPSie z windowsem (rdp). Może ktoś miał dostęp i cos takiego mi zainstalował?

@MJToshi: jest kod, który usunąłem, ale nadal się pojawia...

[RichKidOfSnapchat]

@Saeglopur: @MJToshi: @devones: ale skąd google wie, że strona jest zainfekowana?

[MJToshi]

@RichKidOfSnapchat: Google bot jak wchodzi na twoją stronę, żeby indeksować widzi złośliwy kod.

[MJToshi]

@RichKidOfSnapchat: Możesz mi na priv podesłać kodzik tego gówna z pliku?

EDIT: Ewentualnie jak chcesz to wszystkie pliki strony spakowane to bym pogrzebał.

[w.....r]

@RichKidOfSnapchat: cache?

[RichKidOfSnapchat]

@MJToshi: to jest zwykły skrypt od jakichś reklamodawców. Jedna linijka.

Screenshot z tego VPSa którego używałem do wrzucania stron na FTP.... Co mam teraz zrobić? Zmienić całkowicie serwer?

[MJToshi]

@RichKidOfSnapchat: No jeśli nie ma nigdzie indziej w plikach jakiegoś dziwnego pliku php itd. To bardzo możliwe, że jest on na vpsie/serwerze i wykonuje się za każdym razem.

EDIT: Jeszcze można spróbować przeinstalować VPS i pozmieniać dane.

[Saeglopur]

Jeszcze można spróbować przeinstalować VPS i pozmieniać dane.

@RichKidOfSnapchat: Jak Pan @MJToshi powiedział - to często siedzi aż tak głęboko, możliwe że wykorzystywało podatność samego serwera a nie instalacji.

Pokaż na PW jeśli jeszcze się z tym gryziesz. Na ile ciężka jest sama ta strona? Chyb coś prostego skoro statyczna, to można by nawet wzrokiem przelecieć po plikach, wyszukiwać po frazach z tego co już usunąłeś.

[RichKidOfSnapchat]

@Saeglopur: już usunąłem serwer i przenosze. Strona statyczna, skrypt łatwo znaleźć i usunąć, ale martwi mnie, że google już oflagował, że strona zainfekowana...

No i zastanawia mnie JAK to się stało... Jak tego uniknąć w przyszłości

[januzi]

@RichKidOfSnapchat: Łączyłeś się kiedyś z ftp przy pompocy total commandera? Dałeś komuś dane do ftp, żeby coś poprawił?

[RichKidOfSnapchat]

@januzi: FilesZilla tylko

[MJToshi]

@RichKidOfSnapchat: No to już wiesz gdzie to siedzi. W-------l to i te zlosliwe linki z plików i przeinstaluj serwer i wrzuć je.

[RichKidOfSnapchat]

Ja p------e co za shit...

Kiedy ten shell.php się odpala? Wrzuciłem ten plik na FTP i od razu usunąłem. Co robić? Czekać i obserwować czy od razu usunąć serwer i nowy?

[RichKidOfSnapchat]

@MJToshi: nie no, chyba ten shell.php musiałby być odpalony, żeby zainfekowało serwer? Ale jak, bo żadnego odnośnika do tego pliku nie ma

[januzi]

@RichKidOfSnapchat: Ten, kto wrzucił, ma odnośnik ;)
Zobacz w access logu na wywołania i poszukaj shell.php. Powinieneś dostać ip kolesia i zgłosić go do abuse dostawcy.