IPB დაინფიცირდა, უცნაური შემთხვევა პარამეტრები

[K.C.]

მოგესალმებით ყველას. და მოდერატორთან დიდი ბოდიში წინასწარ , უბრალოდ ვერ მივიფიქრე სად შეიძლებოდა დამეპოსტა ეს ტოპიკი და ვინაიდან ეს ვებ განყოფილება იყო და ვინაიდან ჩემი პრობლემაც სწორედ ვებს ეხება და კერძოდ კი IPB ს. თუ მოდერატორი არ შეწუხდება და ამ ტოპიკს სხვა ადგილი ეკუთვნის ვთხოვ გადაიტანოს შესაბამის განყოფილებაში, ოღონდ ძალიან გთხოვთ წაიკითხოთ ტოპიკი.

საქმის არსი კი აი რაში მდგომარეობს, მაქვს საკუთარი სერვერი და საიტიც IPB ბაზაზე. კერძოდ კი დააპგრეიდებული ვერსია 2.1.7 დან 2.2.x ზე. რამდენიმე დღეა კი ხდება ესეთი რამ, index.php და index.html რომელიც კი მაქვს რუთ დირექტორიაში, ასევე ქვე დირექტორიებში ( როგორც ვიცით ყველა საქაღალდეში არის მოთავსებული index.html რათა ცნობისმოყვარე თვალები მოარიდონ შიგთავსს.) ვირუსდებიან Trojan Clicker_ით. საინტერესო კი ისაა რომ ეს ვირუსი მისით იცერება სკრიპტში ანუ ინდექს ფაილებში ჯდება თავისით რაც ძალიან მიკვირს, რამდენიმე მიზეზის გამო:

1. ამ დირექტორიებთან მარტო მე მაქვს შეხება და იქ ნამდვილად ჩემი ხელით ვირუსს არ ჩავტენი.
2. ეს მეორდება მისით და რაც მთავარია იწერება სკრიპში ისე რომ არ უშლის ზოგადად საიტის ფუნქციონირებას ხელს ანუ არანაირ ერრორს არ ვიღებთ ამ ვირუსის სკრიპტში მოხვედის შემდეგ.
3. ვირუსის სკრიპთი, არის ჯავა ენაზე დაწერილი, და არის კოდირებული ანუ ჩვეულებრივ რეჟიმში ის არის შემდეგი სახით ( echo 5466843.246874316764 ). აქედან გამომდინარე ვერ გავარკვიე რომელი საიტი თუ რა ან რას იძახებს ეს სკრიპთი.
4. შემდეგ იგივე სკრიპთი აღმოვაჩინე page_default.php _ ფაილში. ( თავდაპირველად ვიფიქრე რო მხოლოდ ინდექსებს დაერია. ეგრე არ აღმოჩნდა)

ამავე დროს მინდა აღვნიშნო, რომ სერვერი ფუნქციონირებს ლინუქსზე სადღაც 1 წელია. და ამავე სერვერზე არის ანონიმუს ფტპ, ანუ მომხმარებლები ტვირთავენ და იწერენ ჩემივე სერვერიდან.

რისი ბრალი შეიძლება იყოს ეს ყველაფერი?? ან ვთქვათ შეიძლება იყოს ეს IPB_ს ბრალი?? მე პირადად ძალიან მეეჭვება მაგრამ მეტი ვერაფერი დასკვნა ვერ გამომიტანია. როგორ შეიძლება ფტპ ზე დავირუსდეს რაღაც ფაილები ისე რომ იქ არავინ შევიდეს?? და თუ შევიდნენ რატო არ წაშალეს ვთქვათ მთლიანად საიტი??

რაც შეეხება ანონიმუს ფტპ სა და საიტის რუთ დირექტორიას დძალიან რადიკალურად განსხვავებულ საქაღალდეებში არიან განთავსებულები.
ამავე დროს მინდა აღვნიშნო ის რომ. საიტზე ასევე არსებობს სუბ დომენები რომელთაც არცერთი ფაილს არაფერი მოსვლია ნუ ჯერ ყოველ შემთხვევაში. და რომელთა საქაღალდეები მდებარეობს მომიჯნავე საქაღალდეში რუთთან.


P.S. ადმინისტრაციასთან ისევ დიდი ბოდიში, თუ თემა ძალიან უადგილოდ გავხსენი.
იმედი მაქვს ვინმეს ეცოდინება თუ რა შეიძლება ეშველოს ამ პრობლემას. საიტის მისამართს არ ვწერ რათა რეკლამად არ ჩამომერთვას. წინასწარ დიდი მადლობა.

[K.C.]

otosaxel

მადლობა გამოხმაურებისათვის (IMG:style_emoticons/default/smile.gif)

1)მოკლედ მაგ ფილების მოდიფიცირება შეიძლება ხდებოდეს რაიმე შკრიპტის მხრიდან (რაც 99%-ი, გამოირიცხა შენივე ნაწერის მიხედვით), ამ შემთხვევაში საშველი ერთია CMOD (იგივე file permision-ის დაწევა) 664 მდე, ან უფრო დაბლა , მარა შეიძLება მთავარ საიტს შეესია მარტო იმიტომ რომ დიდი მოთხოვნაა სხვა სუბდომეინებისგან განსხვავებით

CHMOD წესრიგშია რაოდენ გასაოცარიც არ უნდა იყოს (IMG:style_emoticons/default/smile.gif)

3) ცუდი ვერსია იშოვე, ალბათ განულებული არა? თუ ეგრეა მაშინ ნულერმა თავისი შკრიპტიც მიაყოლა რომელიც გიქმნის ამ სიტუაციას
ცადე ipb-ის ACP-დან anti-virus-ის გაშვება, გადაამოწმებს ფაილებს და შეიძლება იმ ხულიგანსაც მიაგნო.

ამ ნულ ვერსიას ვიყენებ სამ საუკუნე ნახევარია (IMG:style_emoticons/default/biggrin.gif) არა ნული ბრალი ნამდვილად არაა (IMG:style_emoticons/default/smile.gif) მაქვს ამავე სკრიპტის ვერსიის 2 სახის ნული (IMG:style_emoticons/default/smile.gif) DGT Null და VST Null ორივე 100% მუშაა, გამოცადა დრომ.

4) ftp-ის პაროლი ვინმემ გაიგო და ასე "გეხუმრება", არც ამის გამორიცხვა არ შეიძLება, სუფთა სისტემიდან შედი შენი სერვერის სამართავ პანელში და იქიდან შეცვალე პაროლი და index.* ფაილები გაასწორე.

ფტპ პაროლი გაიგო და ტროიანების ჩასმის მეტი საქმე არ აქვს?? (IMG:style_emoticons/default/huh.gif)

5) იქნებ სერვერია დაინფიცირებული?! (ზედა ნაწერის მიხ. სხვა შრკიპტების დაინფიცირებაც მოხდებოდა, მაგრამ ნურც ამას გამორიცხავ) და ამ ფაილებზე დიდი მოთხოვნის გამო სწორედ მანდ ჯდება (ყველაზე ხშირად ხომ გამოდის რომ საიტზე index.php-ზე მოდის მოთხოვნა და სხვა პაპკებზე), არ იქნება ურიგო პროცესებს გადახედო და სისტემა შეამოწმო (სერვერის).

შეიძლება, ეს დავპოსტე კიდეც, მაგრამ სხვა ფაილებისკენ ეს უპატრონო ვირუსი რო არც იხედება?? (IMG:style_emoticons/default/blink.gif)

ესეც ლინუქსის ერთერთი ანტივირი, კარგიაო ვერ იტყვი მარა ეს დგება http://www.clamav.net/
ასევე ცადე შენი შკრიპტის (რომელსაც ვირუსი აქვს) აქ შემოწმება http://www.virustotal.com/ თუ ვირი ცნობილია ბოლოში დეტალურ ინფოს დაწერს, და გაიგებ რისი ბრალი იყო

clam მიყენია მაგრამ სულ ცალ ტუფლზე აქვს ეგ ვირუსი არ ხედავს თუ ვერ ხედავს მოკლედ არ შველის ეგ ჯიგარი მაგ საქმეს სამწუხაროდ.... (IMG:style_emoticons/default/mellow.gif)

6) რამე მოდი ხომ არ დაააისტალე და იმის მერე დაიეწყო ეგ გაბერვები, შეიLება იმ მოდშI იყო ეგ ვირუსი და გივირუსებს ფორუმს

საიტზე ბოლოს მოდი როდის დავაყენე აღარც მახსოვს (IMG:style_emoticons/default/smile.gif) ამოვწურე თითქმის ყველა შესაძლო მოდი როგორც 2.2.x დან ასევე 2.3.x რომელიც რაღაც ნიუანსით მაინც მომეწონა ყველა მიყენია, ამ მოდების დაყენების ბოლო თარიღად დაახლოებით შეიძლება ავიღოთ 5-6 თვე თუ მეტი არა, ნუ თუ არ ჩავთვლით რაღაც ნიუანსების შეტანას რომელიც მოდი არცაა უბრალოდ ხელით შემაქვს ხოლმე რაღაც ცვლილება CSS_ში ან HTML ში ACP_დან ხანაც php_დან (IMG:style_emoticons/default/smile.gif)

მოკლედ საშველი არსაიდანაა (IMG:style_emoticons/default/huh.gif)