Ktoś po raz drugi dołączył fragment javascript do strony, którą pomagam uruchomić. Ten skrypt javascript porywa Google Adsense, wstawiając własny numer konta i przyklejając reklamy.
Kod jest zawsze dołączany, zawsze w jednym określonym katalogu (jeden używany przez program reklamowy strony trzeciej), wpływa na liczbę plików w wielu katalogach w tym jednym katalogu reklam (około 20) i jest wstawiany mniej więcej w tym samym czasie z dnia na dzień czas. Konto AdSense należy do chińskiej strony internetowej (znajduje się w mieście niecałą godzinę od miejsca, w którym będę w Chinach w przyszłym miesiącu. Może powinienem pójść na bójki… żartuję, w pewnym sensie), tak dalej… oto informacje na temat strona: http://serversiders.com/fhr.com.cn
Jak mogliby dołączyć tekst do tych plików? Czy ma to związek z uprawnieniami ustawionymi dla plików (od 755 do 644)? Dla użytkownika serwera WWW (jest on w MediaTemple, więc powinien być bezpieczny, tak?)? To znaczy, jeśli masz plik z uprawnieniami ustawionymi na 777, nadal nie mogę po prostu dodawać do niego kodu do woli ... jak oni to robią?
Oto przykładowy kod dla Twojej przyjemności oglądania (i jak widać ... niewiele. Prawdziwa sztuczka polega na tym, jak go tam dostali):
<script type="text/javascript"><!--
google_ad_client = "pub-5465156513898836";
/* 728x90_as */
google_ad_slot = "4840387765";
google_ad_width = 728;
google_ad_height = 90;
//-->
</script>
<script type="text/javascript"
src="http://pagead2.googlesyndication.com/pagead/show_ads.js">
</script>
Ponieważ wspomniało o tym wielu ludzi, oto co sprawdziłem (a przez zaznaczone mam na myśli, że rozejrzałem się w czasie, gdy pliki były modyfikowane pod kątem jakiejkolwiek dziwności i przeszukałem pliki na potrzeby instrukcji POST i przechodzenia przez katalog:
- access_log (nic w tym czasie oprócz normalnego (tj. nadmiernego) ruchu botów msn)
- error_log (nic oprócz zwykłego pliku nie zawiera błędów dla nieszkodliwych plików)
- ssl_log (nic oprócz zwykłego)
- messages_log (tutaj nie ma dostępu do FTP oprócz mnie)
* AKTUALIZACJA: ** OK, rozwiązałem to. Hakerzy z Chin fizycznie umieścili plik na naszej stronie, który pozwala im wykonywać wszelkiego rodzaju czynności administracyjne (dostęp do bazy danych, usuwanie i tworzenie plików i katalogów, nazywacie to, mieli dostęp). Mieliśmy szczęście, że nie zrobili czegoś bardziej destrukcyjnego. Nie było nic w normalnych plikach dziennika apache, ale znalazłem inny zestaw plików dziennika w analizatorze dzienników serwera WWW i były tam dowody. Mieli dostęp do tego pliku z własną nazwą użytkownika i hasłem administratora, a następnie edytowali wszystko, czego potrzebowali na serwerze. Ich plik ma „apache” ustawiony jako użytkownik, podczas gdy wszystkie inne pliki w naszej witrynie mają inną nazwę użytkownika. Teraz muszę dowiedzieć się, jak fizycznie dostali ten plik do naszego systemu. Podejrzewam, że wina za to ostatecznie spocznie na naszym hostie (Media Temple),