[x.....z]

Coś dokleja mi do kodu html strony scrypt, który przekierowuje do różnych dziwnych stron. Zmieniłem hasło do FTP, przywróciłem kopię zapasową i przez kilka godzin było ok. Po czym znowu się zaczęło.

Dopiszę, że zaczęło się wczoraj po tym, jak miałem otwartą sesję FilleZilla, wysłałem poprawiony skrypt, a następnie odpaliłem strims.world. Nie wiem czy ma to związek, ale nawet jakby jakiś malware wykradł hasło do ftp, to zmiana powinna pomóc. W jaki inny sposób mogą atakować? Serwer w ovh.
#it #programowanie #ovh #sieci #php #informatyka

[reveil]

@xxxzzz Może masz keylogger na kompie. Jak zmieniasz hasło to keylogger je przechwyca.

[x.....z]

@reveil: używam wbudowanego w windowsa anwywira, przeskanowałem teraz jeszcze avastem i nic nie znalazło.

[CherryJerry]

@xxxzzz: na strimsy wchodzi się z zwłączonych ublockiem. Raczej to nie keylogger, a zwyczajnie wirus który przeskanował komputer pod kątem różnych programów. Jakbyś miał Total Commandera, to z niego też by wyciągnął hasła. Widocznie Twój antywirus jest do dupy.

Zobacz czy na FB albo Google nie powpadały Ci dziwne kampanie reklamowe, bo takie rzeczy też się potrafią odwalac, a potem masz do zapłacenia np. dwa tysiące.

[x.....z]

na strimsy wchodzi się z zwłączonych ublockiem

@CherryJerry: używam Adblock Plus. Ublock lepszy?

[CherryJerry]

@xxxzzz: jest szybszy i mniej zajmuje pamięci, ale chyba innych różnic pomiędzy nimi nie ma. Jeżeli to nie przez strimsy wlazło, to nie wiem, ale pierwsze co to sprawdziłbym (po zmianie hasła) na innym - czystym - komputerze, czy to sie dzieje.

[x.....z]

@CherryJerry: atakowana jest baza danych i scrypt dopisywany jest bezpośrednio do rekordów. Zmieniłem hasło root, ftp, do bazy. Nic nie pomaga. Dosłownie po chwili od przywrócenia baza jest atakowana.

[BusinessMoose]

@xxxzzz: przeskanuj jeszcze za pomocą eset online scanner, dużo lepszy od avasta i defendera.

[CherryJerry]

@xxxzzz: jakiś crontab na serwerze? Co jest na ftp wgrane? Są jakies ukryte pliki. Ja nie mam pomysłu :<

OVH jest we Francji, a tam trzesienie ziemi było, kto wie :P

[maryce]

@xxxzzz: a może masz jakąś dziurę w swojej aplikacji?

[x.....z]

jakiś crontab na serwerze? Co jest na ftp wgrane?

@maryce @CherryJerry: aplikacja oparta na Zend Framework. Ogólnie jak ustawię błędne hasło do bazy danych i strona nie działa, to do żadnego nadpisywania nie dochodzi. Jak tylko ustawię prawidłowe hasło do bazy i strona staruje, to po paru sekundach do rekordów w tabeli w bazie danych dopisywane jest skrypt spamerski. Nie wiem co robić.

[ujdzie]

@xxxzzz: ja bym sprawdził logi (access i error), możliwe, że masz gdzieś jakiś backdoor

[wypokowy_expert]

@xxxzzz: pierwsza rzecz zmienić hasła korzystając z innego urządzenia, pozamykać stare sesje. Jak dalej będzie się dopisywać to problem jest na serwerze

[x.....z]

@reveil: @wypokowy_expert @CherryJerry udało się. Koledzy @ujdzie i @maryce mieli rację, była dziura i doszło do najprostszego SQL injection, a ja debil skupiłem się na tych hasłach i dostępie do FTP. Chociaż zastanawia mnie jak pozyskał nazwy tabeli i kolumn.

Lekcja na przyszłość, można było rozwiązać to w 5 minut, a ja pół dnia straciłem i w cholerę nerwów.

Dziękuję za pomoc!

[sharik]

@xxxzzz: jak był sql injection to zdobycie nazw tabel i kolumn to latwizna, nawet w przypadku blind sql injection (chociaż wtedy trzeba skryptem brute forceować) https://defendtheweb.net/article/blind-sql-injection

[x.....z]

jak był sql injection to zdobycie nazw tabel i kolumn to latwizna

@sharik: w sumie masz rację. Mnie zmyliło to, że robiłem pierwszy raz od paru tygodni zmiany i miałem otwartą sesję w FilleZilla, plus ten strim.world. Szukałem nie tam, gdzie trzeba.