Na stronie ostrzeżenie o złośliwym oprogramowaniu

[andr_w 0]

Witam,

Od kilku dni jak wchodzę na swój sklep Klik pojawia sie ostrzeżenie "Strona, którą chcesz otworzyć, zawiera złośliwe oprogramowanie". Pokazuje się tylko na Chrome. Na FF jest normalnie.

 

Sprawdziłem w narzędziu o stanie strony i wszystko ok

Mój link

 

Proszę o informację co mogę zrobić, aby to naprawić?

[januzi 24]

linia 45, złośliwy kod js

 

zablokuj chwilowo dostęp do strony, znajdź pliki zmodyfikowane przez wirusa i zapisz sobie listę do jakiegoś pliku na komputerze (przyda się później), zaktualizuj opencarta (lub wgraj poprawki bezpieczeństwa do tej wersji, którą masz)

jeśli zaktualizowałeś lub wgrywałeś poprawki, to usuń wirusa tylko z tych plików, które nie zostały zmienione przez poprawki/aktualizator

 

do sprawdzenia:

pliki php

pliki js

pliki css (niestety, w nich też mogą być złośliwe wstawki)

i shelle mogą udawać obrazki (w konsoli da się sprawdzić jakiego typu jest plik)

[andr_w 0]

Wydaję mi się, że to problem związay ze skryptem od cookies. Ponieważ jak spradzam w FF, to pokazuje mi się, że to w plku index.php, lecz jk wchodze w ten plik to nic tam niema. Tylko nie pamietam gdzie ten kod wklejałem. Jak to mogę zweryfikować?

[januzi 24]

w konsoli przy pomocy grep, jak nie ma dostępu do konsoli, to ściągnąć kopię na dysk i przy pomocy astrogrepa znaleźć miejsce

 

więcej niż jeden plik będzie zainfekowany

[andr_w 0]

Zainstalowałem astrogrepa.

Według "Zbadaj element" w FF pokazuje mi komunikat błędu

Zasób pod adresem „https://travel4a.win/testing” został zablokowany przez funkcję „Bezpieczne przeglądanie”.

Wczytanie nie powiodło się dla elementu „script” ze źródłem „https://travel4a.win/testing”.

 

Ściągnąłem jeszcze raz cały sklep z sv na dysk, aby wyszukać ten adres który blokuje, ale niestety nie pokazuje... Niby jest w index.php, a jednak go nie znajduje.

 

 

Co to ciasteczek to znalazłem jest w footer, ale tam jest tylko adres:

<script src="http://skryptcookies.pl/cookie.js"></script>

[januzi 24]

bo ten kod jest zapisany jako base64_decode + eval, itd.

 

poszukaj dziwnego ciągu znaków (będzie ich więcej niż 50), prawdopodobnie wstawione tak, że najpierw będzie:

<?php

potem masa spacji i ten ciąg

?><?php

 

Jeśli znajdziesz coś takiego, to na ftp znajdź ten plik, określ datę i przejrzyj wszystkie pliki zmodyfikowane z tą datą, prawdopodobnie każdy ma tę wstawkę (którą trzeba wyciąć)

[Viking 2]

Swoją drogą na forum php też niedawno ktoś miał z tym skryptem problem i podobnie zawirusowane pliki. Samo napisanie takiego skryptu "cookie" to parę linijek.

[andr_w 0]

Już poprawione. W razie gdyby ktoś miał też ten problem.

Okazało się, że było włamanie do bazy danych i tam zostało doklejony ten fragment adresu. To dlatego nie mogłem go znaleźć w plikach na sv.

[januzi 24]

Zaktualizowałeś pliki? I poszukaj od razu shelli.