Вирус

[Maximus]

Lolo De Bordo
Меняется htaccess или js зловредный все время дописывается?
Почему нельзя ограничить доступ SSH/FTP по IP?
Меняют с правами рута или юзера?

[Lolo De Bordo]

Сообщение от Maximus

Lolo De Bordo
Меняется htaccess или js зловредный все время дописывается?
Почему нельзя ограничить доступ SSH/FTP по IP?
Меняют с правами рута или юзера?

иногда это хтаксесс файл, в конец файла дописываются правила для мобильных устройств с редиректами на какерские сайты
иногда заливают архив в несколько десятков мегабайт и распаковывают в каталог blogs
там файлов в этом каталоге несколько тысяч
все файлы содержат в имени файла какой то ключевой запрос из поисковика

[AngelOfGrief]

Сообщение от Maximus

Почему нельзя ограничить доступ SSH/FTP по IP?

Они не через SSH/FTP заливают, как я понимаю, а через дыру в PHP скрипте.

Но её можно найти. Надо посмотреть дату/время модификации заражённого htaccess файла и пошарить в http логах на этот же момент даты/времени. Там безусловно будет шел, который это сделал. Далее посмотреть на дату/время создания уже самого шела и снова поискать в логах. Это выведет на тот дырявый скрипт через который вам и загрузили этот шел. Скорее всего, это какой-то скрипт аплоада файлов (я предполагаю). Ну а уж в самом скрипте найти дыру несложно учитывая то, что он будет с параметрами... Если параметры передаются через POST, можно сделать их сохранение куда-нибудь на будущее чтобы в следующий раз найти дыру.

Если в http логах нет ничего на искомые дату/время, надо смотреть ftp логи. Но с ваших слов, грузят не через ftp. А вообще я все ftp логины на своих серверах закрыл, только SSH пользуюсь. А пароли ввожу из памяти (из головы, в смысле). ))

[наомыч911]

Денис,привет,подскажите,что такое?
Какую тему ни открою,выскакивает

[denis.gan]

Сообщение от наомыч911

Денис,привет,подскажите,что такое?
Какую тему ни открою,выскакивает

Ну я, вообще-то, не спициалист, но в таких случаях чищу историю в браузере.

[наомыч911]

Сообщение от denis.gan

Ну я, вообще-то, не спициалист, но в таких случаях чищу историю в браузере.

помогло,спасиб!

[Lolo De Bordo]

сам подгружаемый файл заливается в каталог инклюдов под именем очень схожим с дефолтными файлами воблы

[Maximus]

Короче ваш шел видимо ходит по рукам и перепродается)

иногда это хтаксесс файл, в конец файла дописываются правила для мобильных устройств с редиректами на какерские сайты

Это сливают траф по юзерагенту. Может действительно как временное решение на крон поставить перезапись htaccess на нужный раз в минуту? Дима предлагал вроде.

иногда заливают архив в несколько десятков мегабайт и распаковывают в каталог blogs

А это дорвеи заливают + клоакинг.

А что за подгужаемый файл?

[Lolo De Bordo]

в общем надо искать дырку и ищем, через которую заливают шел

[Maximus]

Почему вы не хотите ограничить доступ по сеткам ИП?

[Maximus]

Вы можете еще по крону опрашивать размеры или дату изменения (там где это приемлимо) файлов, и тем же кроном бекапить в случае изменения.

Почему я спрашивал от кого идет запись httacess, если она от юзера, то просто назначьте права и овнера root.

[mpreshe-dollar]

Модератор, что у Вас с форумом?? Касперский с ума сходит! Любое действие, любая страница и он всё блокирует....

[Lolo De Bordo]

Сообщение от mpreshe-dollar

Модератор, что у Вас с форумом?? Касперский с ума сходит! Любое действие, любая страница и он всё блокирует....

какая ошибка? какой вирус?

[RustCorso]

ДОСТУП ЗАПРЕЩЕН
Запрашиваемый веб-адрес не может быть предоставлен

Веб-адрес:

http://porschec.ru/showthread.php?t=7746

Заблокирован Веб-Антивирусом

Причина: опасный веб-адрес

Нажмите здесь, если считаете, что веб-страница заблокирована ошибочно.

Способ обнаружения: базы