HTML.malware во всех index.html файлах системы

Добрый день, коллеги!

При заходе на свежеустановленный сайт с modx спустя некоторое время антивирь начал выдавать сообщение о нахождении на сайте HTML.malware. Прошерстив index. файлы нашел почти в каждом следующую явно чужеродную конструкцию:



Грешил на свою машину - думал что модифицирует файлы по FTP какой нить злобный троян. Ан нет!
Проверил свой комп всеми возможными антивирусами - заразы не нашел.

Никак не пойму, откуда что берется!

Заранее спасибо за помощь.

PS: до MODX ваял на Joomla - там случалась такая же фигня

Quote from: Washburn at Jun 20, 2008, 11:22 AM

При заходе на свежеустановленный сайт с modx спустя некоторое время антивирь начал выдавать сообщение о нахождении на сайте HTML.malware. Прошерстив index. файлы нашел почти в каждом следующую явно чужеродную конструкцию

Скорее всего подхвачен вирус. Сколько раз уже подобные темы появлялись.
Редкость, но также случается, что взламывается хостер, а после всем пользователям внедряется подобная дрянь.

Машину свою проверил всеми платными и бесплатными антивирусами и утилитами, которые смог найти.
Все чисто. Хостер - мастерхост, - сомневаюсь, что подобная контора может допустить заражение своих серверов...

Ну значит раньше был подхвачен троян, после каким-либо образом он был удален либо ваши утилиты его не определяют.
Какие еще могут быть варианты - например, разработчиками в MODx встроена такая зараза .
Это уже обычный троян, не более того, который повреждает именно индексные файлы.

Появилась еще такая идея:

может ли внешняя зараза каким то образом заражать файлы, если неверно настроены права доступа - хотя бы к одному из функциональных элементов системы? Насколько я понимаю, заразе достаточно внедриться в коренной index.php - чтобы потом расползтись по всей системе?

Какие права на какие файлы и папки должны быть?
Вроде бы при установке все это учел, но мало ли....

а как дела с register_globals?

Quote from: rav3n at Jun 22, 2008, 12:45 PM

а как дела с register_globals?

Установлено по умолчанию - как система ставится, так и осталось.
Что нужно сделать чтобы отключить? Насколько я понимаю, где-то нужно прописать refister_globals=off

Quote from: Washburn at Jun 22, 2008, 01:28 PM

Установлено по умолчанию - как система ставится, так и осталось.
Что нужно сделать чтобы отключить? Насколько я понимаю, где-то нужно прописать refister_globals=off

Раскомментировать в .htaccess, в корне сайта

Объясните в двух словах плиз, как объявление глобальных переменных может способствовать распространению подобной заразы

Quote from: Washburn at Jun 23, 2008, 01:33 AM

Объясните в двух словах плиз, как объявление глобальных переменных может способствовать распространению подобной заразы 

В принципе считается небезопасным использование глобальных переменных. Если вдруг найдется дырка в скриптах, то злоумышленник теоретически может изменять любые переменные на сайте.
Что касается влияния глобальных переменных на эту заразу.. думаю, здесь нет абсолютно никакой зависимости. Насколько я знаю, подобная зараза попадает на сайт вообще через фтп, когда троян крадет пароли с зараженного компьютера.