Discussione: Infezione sito

1. disattiva tutti i plugin
2. cambia password all'ftp
3. controlla che sul tuo pc non vi siano worm o trojan
4. scarica tutti gli script in locale (*.php, *.js, *.htm, *.html)
5. scannerizza tutti questi file contro worm e virus
6. vai in diagnostica e rivela tutti i file che non appartengono a vbulletin
7. scarica questi file (mantenere la struttura) ed eliminali dal server
8. reinvia, sostituendo, tutti i file *.php e file *.js che fanno parte di vbulletin, ma che sono alterate
9. esegui il forum un paio di giorni senza aggiunte, per vedere se si ripete il problema
10. se non si ripete, attiva i plugin uno per uno per un periodo prolungato quando sei certo che vanno. nota che c'è un problema con vbseo che causa defacing e iniezioni di codice arbitrario e non so se è stato risolto
11. se il problema si ripete, c'è una falla nel sistema, del hosting, di ftp o dell'account hosting

Grazie anche a te per avermi risposto.

Riassumo tutto quello che ho fatto, magari sfoltiamo le ipotesi e le prove da fare.

Ho lo stesso problema su due forum hostati su due diversi server e con differenti credenziali. Sul primo ho avuto il problema da un po' di giorni e quindi ho fatto molti accessi via ftp, sul secondo invece non accedevo da mesi e mi son ritrovato nelle stesse condizioni, quindi escluderei problemi al mio pc e alle credenziali di accesso al sito. Ho già rimosso tutti i file di script dal server che non sono basilari del vbulletin, individuandoli con la data di ultima modifica, dopo aver riuppato tutti i file puliti del vbulletin che sostituiscono i precedenti infetti. A tal proposito ho notato che tutto il casino parte dai file contenuti nella cartella clientscript, che è quella che risulta infettata per prima. Inoltre ho notato che si generano dei file con nomi simili al VB ma che secondo me non sono suoi. Qualcuno lo potete trovare qui:

http://www.sendspace.com/file/0z8yhf



Riguardo a vbseo non lo ho utilizzato, o meglio lo tenevo sul forum uno ma senza usarlo, mentre sul forum due non ci stava e comunque è risultato infetto

Una sola cosa, ma i plugin che non hanno file uppati nel server possono creare questo problema??

PS: ma i file che permessi devono avere?? E se li metto in sola lettura 444, magari risolvo qualcosa??

salvo per hacking diretto dell'account o per malconfigurazione del sistema su piano hosting, gli unici accessi per defacing/malware sono ftp e plugin, qualsiasi plugin. per cui inutile cercare oltre

quindi anche se sei convintissimo di non avere problemi su pc, è comunque un potenziale ingresso ai siti tramite ftp. non importa quanto lo utilizzi tu, ma quanto lo utilizza il worm

No blackwolf76 il problema resta ancora mi son collegato poco fa'......quel godaddy non lo vedo bene ma proprio per nullaIn ogni caso se non vado errato dopo che fai la pulizia e' tutto il resto ,il sito per funzionare senza l'avviso devi aspettare che google sblocchi il sito e lo cancelli dalla blacklist! almeno per quando riguarda firefox/crome i.e. non ne ha bisogno

Originariamente Scritto da Fabioo

Accipicchia, quindi le mie perplessità sull'utilizzare un sottodominio invece di una sottodirectory per il forum non erano infondate! peccato che abbia optato per una sottodirectory /forum ....

Dopo quello che ho letto qui, devo trovare il modo di spostare joomla su un altro server, lontano da vBulletin

il problema non è joomla, ma come sono collegati. se non c'è un bridge, allora non ci sono problemi. cose che si sanno e che mi sono stancato di ripetere