Яндекс обнаружил вредоносный код на форуме

[siv1987 2628]

Код удаляется обновлением кешей стилей - Внешний Вид -> Инструменты -> Обновление кеш-файлов. Попутно нужно проверить шаблон includeJS в админцентре. Потом обязательно сменить пароли всех администраторов и к базе данных. Эти процедуры нужно проделать каждый раз после обнаружения вируса. Ко всему этому можно обновить и кеши языков. И обязательно установить патчи безопасности или обновится до версии в которой эти уязвимости закрыты, иначе все действия будут напрасны.

[Атаман 463]

Игорь, скорее всего ты прав - в том, что вирус заседает в шаблоне админ панели. Все это время, я его не мог поймать его в skin_global.php, а так-же БД.

 

После чистки cache всех шаблон, и папки с языками + удаления шаблона админ центра, а так-же всех JS, после перестроения всех кэшев и замены паролей, смены пути админ панели, смены пароля БД - фтп, запрет всем админам вход в АЦ.

 

Вирус начал отходить, последняя ссылка осталась для проверки в яндекс вебмастере. из 10 где-то

[ttindex 1]

Код удаляется обновлением кешей стилей - Внешний Вид -> Инструменты -> Обновление кеш-файлов. Попутно нужно проверить шаблон includeJS в админцентре. Потом обязательно сменить пароли всех администраторов и к базе данных. Эти процедуры нужно проделать каждый раз после обнаружения вируса. Ко всему этому можно обновить и кеши языков.

Попутно нужно проверить шаблон includeJS в админцентре

Код с шаблона includeJS выложил в предыдущем посте (вирус там не нашел)

 

Потом обязательно сменить все пароли администраторов и к базе данных.

Все пароли еще раз поменял.

[siv1987 2628]

Код с шаблона includeJS выложил в предыдущем посте

Раз нету значит выкладывать блоки шаблона не нужно.

 

Шаблон желательно проверить для всех скинов.

[ttindex 1]

Раз нету значит выкладывать блоки шаблона не нужно.

 

Шаблон желательно проверить для всех скинов.

у меня один скин на форуме

[Одмин 42]

1. Проверка шаблона includeJS (Глобальные) в АЦ.

Скажите, пожалуйста, а если шаблон includeJS ни разу не редактировался (стоит черная метка), если в нем не принято никаких изменений с момента установки форума, значит всё в норме?

[Атаман 463]

Скажите, пожалуйста, а если шаблон includeJS ни разу не редактировался (стоит черная метка), если в нем не принято никаких изменений с момента установки форума, значит всё в норме?

 

нет. Вирус может в кэше сидеть.

 

Вредоносный код сидит в /cache/skin_cache/cache_%id/skin_global.php, метод includeJS и имеет подобный вид:

[Одмин 42]

@Атаман, нет такого кода у меня в кэше B)

[Атаман 463]

У меня его тоже не было.

 

http://ipbskins.ru/f...dpost__p__90820

 

ответ сегодня. Усиленно ревизию произвел.

 

http://ipbskins.ru/f...dpost__p__90847

[Одмин 42]

@Атаман, ну а как этот вирус попал к Вам в кэш? У меня его нет ни в АЦ, ни в skin_global.php. Вспоминается тема про комплексную защиту форума))

[Атаман 463]

@Атаман, ну а как этот вирус попал к Вам в кэш? У меня его нет ни в АЦ, ни в skin_global.php. Вспоминается тема про комплексную защиту форума))

 

Аналогично. не мог его найти нигде, но закрыл всем доступ, и тд. Выше все действия свои сказал. Форум стал оживать. Как сказал Игорь, возможно где-то права были не доставлены и тд.

Я просто все на корню удалил, и все пароли поменял, и ограничил админов.

[Атаман 463]

Игорь спасибо за подсказку и решение данного вопроса. Вирус ушёл.

[Fedor 0]

я удаляю код по пути, который указал, он снова появляется, точно такой же, подскажи что делать?

на данный момент яндекс ругается на http://big-benz.ru/files/file/95-w463-300ge-g320-g500-tablitca-predohranitelej/

[newbie 1723]

я удаляю код по пути, который указал, он снова появляется, точно такой же, подскажи что делать?

на данный момент яндекс ругается на http://big-benz.ru/f...redohranitelej/

Читайте тему полностью. Помимо удаления кода, нужно сменить пароли, проверить шаблон и т.д.

[siv1987 2628]

я удаляю код по пути, который указал

Значит вам еще раз нужно внимательно прочитать тему. Ответ на ваш вопрос можете прочитать здесь http://ipbskins.ru/forum/topic13571.html/page__view__findpost__p__90486