Strane registrazioni

**excalibur27** · 09-09-2013, 19:52

Che dire sono senza parole, non immaginavo che potessero accadere queste cose, pazienza, anche un mio amico ha il sospetto che c'entra qualche italiano, supposizioni sue, intanto a me è rimasto che quando clicco sugli help nel pannello cp admin mi esce la schermata che ho postato e non sò come devo fare per eliminarla, dovrei forse sostituire qualche file ma non sò quale, Giovanni mi sà che dovrò contattarti in modo che risolviamo questo problema, intanto ringrazio tutti per le risposte.

**Fabioo** · 10-09-2013, 11:09

Che bello mi hanno graziato

...

**y2ksw** · 10-09-2013, 11:29

Originariamente Scritto da excalibur27

Che dire sono senza parole, non immaginavo che potessero accadere queste cose, pazienza, anche un mio amico ha il sospetto che c'entra qualche italiano, supposizioni sue, intanto a me è rimasto che quando clicco sugli help nel pannello cp admin mi esce la schermata che ho postato e non sò come devo fare per eliminarla, dovrei forse sostituire qualche file ma non sò quale, Giovanni mi sà che dovrò contattarti in modo che risolviamo questo problema, intanto ringrazio tutti per le risposte.

Mandami via PM le credenziali di un account admin con diritto di modificare gli stili. Bisogna solo ripristinare la pagina "guastata"

**excalibur27** · 12-09-2013, 06:59

Ringrazio pubblicamente Giovanni per l'aiuto e la disponibilità che mi ha dedicato
spero un giorno di ricambiare.

**y2ksw** · 12-09-2013, 23:19

Mi è stato utile per capire alcune cose

**bozzawa** · 22-09-2013, 10:22

Sono anche io vittima di un certo MR Galow che dall' indonesia mi sta facendo impazzire, ieri ho perso un pomeriggio a cercare di sistemare, ma non ci sono riuscito, nonostante abbia eliminato tutti files via ftp e ricaricati "puliti" non riesco a togliere la pagina del forum.php hackerata. Il mio è un sito di pochi appassionati di caffè che ha richiesto tanto lavoro mi hanno fatto un danno enorme in termini di tempo che ho dedicato al sito da autodidatta, sono molto demoralizzato.

**y2ksw** · 22-09-2013, 11:46

Originariamente Scritto da bozzawa

Sono anche io vittima di un certo MR Galow che dall' indonesia mi sta facendo impazzire, ieri ho perso un pomeriggio a cercare di sistemare, ma non ci sono riuscito, nonostante abbia eliminato tutti files via ftp e ricaricati "puliti" non riesco a togliere la pagina del forum.php hackerata. Il mio è un sito di pochi appassionati di caffè che ha richiesto tanto lavoro mi hanno fatto un danno enorme in termini di tempo che ho dedicato al sito da autodidatta, sono molto demoralizzato.

Spero che hai almeno un backup da qualche parte.

**bozzawa** · 22-09-2013, 11:58

Originariamente Scritto da y2ksw

Spero che hai almeno un backup da qualche parte.

Grazie al vostro aiuto sono riuscito a ripristinare nello stile che utilizzavo c'era modificato un template di nome "page" con tutto un lungo script.
per non sapere ne leggere ne scrivere ho eliminato tutto lo stile che ricaricherò successivamente tale e quale.
spero che non ci siano altri danni, ora prima di proseguire aspetto che il mio host mi cambi le pass di ftp e database, che potrebbero essere state prelevate.
Per ora vi ringrazio ma penso che presto sarò ancora qui a chiedere supporto per altre conseguenze a questo danno.

PS ho anche un back up che ho fatto ai primi di luglio :P

**Malix** · 23-09-2013, 11:00

Originariamente Scritto da y2ksw

Ho passato questo pomeriggio a ripulire miei server da questo hack ed ecco cosa si deve fare:

chiudere il server e disattivare tutti i siti, perché loro installano ovunque loro script, per poi usare il server come portale per loro spam
cercare i file federal.php, logs.php, index-old.php, adminer.php, cex.php, php.php, email.php, emailphp.php, sql.php e sqlnew.php e spostarli in zona inaccessibile dal web
cercare tutti i file php modificati da N giorni: find /var/www/*/htdocs/ -type f -name '*.php' -ctime -N
controllare tutti i file trovati ed eliminare quelli che contengono codice strano
uppare i file giusti
andare a cercare le cartelle che contengono soft link ai file includes/config.php (camuffati da file *.html)
spostare la cartella fuori dalle palle
listare tutti i file in quella cartella (ls -lA) per vedere quali sono i siti compromessi
cambiare le password a tutti i siti compromessi, sia per database che per forum e FTP e qualunque altra password uguale o simili e all'occasione renderli sicuri e usare per ogni cosa la sua password
avviare i siti uno per uno con .htaccess che fa passare solo il vostro IP
cambiare password al forum di tutti gli amministratori, compreso il vostro (se non va allora bisogna costruire uno con md5(md5('password') + salt) e uno script php temporaneo. consiglio cambiare anche salt ed email)
controllare ed eliminare dopo controllo manuale tutti i file sospetti trovati in area manutenzione, diagnostica
mandare in culo il hacker la prossima volta che vi capita, e massacrare di botte tutti coloro che si vantano di appartenere alla categoria

Per risolvere il problema dei file .php modificati, non è sufficiente sovrascriverli con un upgrade della versione corrente?

Tutto questo sta succedendo anche con forum diversi da vBulletin?

**y2ksw** · 23-09-2013, 18:13

Originariamente Scritto da Malix

Per risolvere il problema dei file .php modificati, non è sufficiente sovrascriverli con un upgrade della versione corrente?

Tutto questo sta succedendo anche con forum diversi da vBulletin?

si, ma loro aggiungono anche dei file e quelli servono poi per reiscriversi ancora e ancora, e per spammare.