בדיקה

אתמול בבוקר אני נכנס למונה כניסות של האתר שלי ,ואני רואה שהתעבורה נעצרה בצהריים
אני נכנס לאתר  ורואה דף שגיאה שבדר"כ מופיע כשיש בעיה בדטה בייס ,נכנסתי לממשק ניהול
העלתי גיבוי וכלום ,(זה אתר ג'ומלה 1) הורדתי את הדפים שהוא ציין שיש בהם שגיאה
החלפתי אותם. האתר עלה אבל כעבור כמה שעות חזר לסורו ,הורדתי את (דפי php)
ובדקתי אותם מול דפים דומים של ג'ומלה (אתר אחר) חלק מקוד נמחק והושתל הקוד הזה

קוד זדוני עםiframe src הפניה לאתר שחקרתי אותו ב whois האי פי שלו מתחלף כל פעם

תקנתי את כל הדפים (גם דפי index.php  של אתר אחר בשרת אתר 19דפים) החלפתי סיסמאות גם באתרים וגם
בממשק ניהול .

וחשבתי שזהו . אבל לא

שמתי לב שאני נכנסל ג'ומלה  שם משתמש סיסמא  הוא נכנס לאתר שלי אבל גם לאתר שלמעלה כלומר לא הסרתי
את האיום בקיצור בשעות האחרונות אני נלחם   בזה ללא הועיל

למישהו יש  ידע בנוא ? עיצה משהו ?

1. האם יש לך גיבוי של מסד הנתונים לפני הסיטואציה?

2. האם יש לך גיבוי של הקבצים המקוריים ?

3. האם אתה מעודכן לגרסה האחרונה של ג'ומלה?

4. האם יש לך באתר הג'ומלה תוספים ופלאג אינים שאינך משתמש בהם - וזהו המקור האמיתי לדעתי. (הפלאגאינים) 

יכול להיות שיש למישהו גישה לחשבון האחסון שלך?

לא הבנתי מדבריך אם החלפת סיסמאות לג'ומלה או גם לפאנל ניהול אחסון הקבצים.

בכל אופן, עליך ליצור קשר עם חברת האחסון שלך ולהתייעץ איתם, צריכה להיות להם דרך למעקב ואני בטוח שישמחו לסייע לך ברגע שתיידע אותם.

תבדוק אם הקוד  ששתלו לך - אינו נמצא  ב database .

זוהי טכניקה נפוצה בשם "Sql injection"

רוב הסיכויים שזה נמצא שם.

הפתרון : לבדוק ולבקר את כל הדפים בהם יש אינטראקציה עם המשתמש ועם ה  database (למשל : למחוק תגיות <script> וכדומה.....)

----------------------------------------------------------------------------------------------------

מקום אחר לבדוק - בתיקיית ה  Cockies

ניתן למחוק את תיקיית ה  Cockies כולה - אך תצטרך להקיש סיסמאות מחדש.....

-----------------------------------------------------------------------------------------------------

בכל מקרה - צריך לדעת קצת תכנות ...לא הרבה ....כדי לא לגרום נזק בלתי הפיך.

פרצו לי גם לחברת אחסון השניה ,כל השבת קראתי מאמרים על הנושא זה פשוט לא יאמן מה שהחברה האלו

עושים ,בחברת אחסון השניה הם שתלו קוד iframe  גם בדפי html (העיקר שהם מתחילים ב index )

מאמר על זה ומה עושים נגד זה 1 

 http://blog.unmaskparasites.com/2009/06/25/hidden-cn-iframes-are-still-prevalent/

http://forums.digitalpoint.com/showthread.php?t=901622

http://www.spambusted.com/

ברוב המקרים זה מתחיל במחשב האישי ,קוד זדוני מושתל ( ברוב הפעמים כקובץ pdf או swf  (

אוספים סיסמאות ויאלה חורדיןם את האתר .

למי שיש אחסון שיבדוק טוב את המחשב שלו

איזו גרסאת גו'מלה אתה עובד?

חשבת לשדרג אותה? 

שוחררו כמה גרסאות עם תיקנוי אבטחה בחודשיים האחרונים.

ספר לנו גם מי החברת אחסון שלך?

הבעיה (לפחות זאת ) לא הייתה של ג'ומלה פשוט שתלו לי קוד זדוני במחשב

וגנבו לי סיסמאות איך אני יודע ? פשוט מאוד באחסון אחד הורדתי מאתר את כל הקבצים

והשארתי דף בודד index.html  לאחר 24 שעות הדף "נפרץ" והקוד הושתל (בדף הייתה

מילה אחת שם האתר באנגלית )

עכשיו אני מכין מחשב מוגן ,איתו אני רק יטפל באתרים שלי. זה הלקח על תסמוך על מחשב הגלישה

\אימייל שלך הם משוכללים החברה האלו

עוד מאמר כיצד להתגונן http://25yearsofprogramming.com/blog/20071223.htm

צטט: דואי2 2009-07-28 17:11:31

הבעיה (לפחות זאת ) לא הייתה של ג'ומלה פשוט שתלו לי קוד זדוני במחשב

וגנבו לי סיסמאות איך אני יודע ? פשוט מאוד באחסון אחד הורדתי מאתר את כל הקבצים

והשארתי דף בודד index.html  לאחר 24 שעות הדף "נפרץ" והקוד הושתל (בדף הייתה

מילה אחת שם האתר באנגלית )

 

עכשיו אני מכין מחשב מוגן ,איתו אני רק יטפל באתרים שלי. זה הלקח על תסמוך על מחשב הגלישה

אימייל שלך הם משוכללים החברה האלו

 

עוד מאמר כיצד להתגונן http://25yearsofprogramming.com/blog/20071223.htm

משום מה ניראה לי הרבה יותר הגיוני שפרצו לך לאחסון מאשר למחשב.

התיאור שאתה מתאר מתאים גם לזה.

לפי התיאור שלך אני יכול לומר לך ב 100% שיש לך אורח לא מוזמן במחשב.

כמה פעולות שאתה צריך לעשות לפי הסדר הזה:

* פנה לך כמה דקות ארוכות.

* שב ליד מחשב נקי מאיומים - נשמע שאתה זקוק לפירמוט.

 * תתקין אנטי וירוס יעיל לפני כל דבר אחר שאתה מתקין על המחשב, מומלץ מאוד של קומודו. אתה לא חייב להשתולל ולהתקין גם את הפיירוול...

* תחליף סיסמאות ואת שאלת איפוס הסיסמה בכתובות המייל שמקושרות עם חשבונות האחסון ו\או עם כתובת מייל אחר.

* אל תוריד שום דבר מהאימייל ממישהו שאתה לא מכיר ואל תפתח הודעות חשודות, פשוט תמחק אותם.

* תחליף סיסמאות בחברת האחסון.

* אם אפשרי, דבר עם חברת האחסון שיפעילו sniffer על החשבון שלך, ככה תופסים פורצים...

* כוכב ירוק לא יתקין לך וירוס...

בהצלחה

רוב הפריצות לשרתים נעשות בכלים אוטומטים שמנצלים פרצות בתוכנות פופולאריות ולא ע"י גנבת סיסמאות ממחשב אישי. הסיבה לכך פשוטה: צריך שהמון-המון-המון אנשים יורידו את התוכנה הזדונית כדי למצוא מישהו שיש לו אתר אינטרנט...

הסיסאדמין של השרת צריך לבדוק אם יש פורץ ואיזה הרשאה הוא נתן לעצמו ואח"כ לעדכן את תוכנות השרת.  החלפת הסיסמאות אינה רלוונטית אם השרת נפרץ והפורץ בפנים/יצר לעצמו חשבון/התוכנה שדרכה פרץ לא עודכנה.

בכל מקרה אחר לא הייתי ממהר לקפוץ למסקנות אבל במקרה הזה היא מאוד רלוונתית...

שתי חשבונות שונים בשתי שרתים נפרדים? יש קשר בכלל לשרת? לא נראה לי...

קראת את הפוסט?

נשמע לי דווקא שפרצו לך לחשבון ה-FTP, או שההוסטינג שלך מאפשר גישה אנונימית ל-FTP. בכל מקרה תבדוק ותדאג להחליף סיסמאות גם שם - ורצוי מאוד לסיסמאות ארוכות וקשות לפיצוח.

==-==-==-==-==-==-==-==-==-==
The Shark Lady - ניהול וקידום תוכן
http://hebrew.thesharklady.com
http://www.revitalsalomon.com
==-==-==-==-==-==-==-==-==-==

הנה תרגום של פוסט(גוגל טרנסלט)  של בעל אתר שהצליח לנטר אותם און ליין  ובדיוק לראות מה עשו

כמוהם גם אני הייתי בעל אקרובט 8 (עם באג) דרכו הם הצליחו להכנס למחשב שלי (pdf מושתל )

לחבר שלמעלה הם לא מדביקים סתם אנשים סתם אנשים לא מעניינים אותם ,הם פשוט מחפשים אתרים

נגשים לצור קשר ,או טומנים מארב ותופסים בעל אתר (עדיף כמובן יותר מאתר אחד)