вирус в системе modx

Quote from: Wuron at Sep 03, 2009, 02:20 AM

Попробуй почистить папку /assets/cache/

Не помогло. >:(

Может еще что нить кто нить подскажет?

Спс.

Quote from: AsderKDW at Sep 14, 2009, 06:54 AM

Quote from: Wuron at Sep 03, 2009, 02:20 AM

Попробуй почистить папку /assets/cache/

Не помогло. >:(

Может еще что нить кто нить подскажет?

Спс.

Не помогло потому, что у вас или человека имеющего доступ к фтп сайта заражен компьютер.
1. Вылечите компьютер.
2. Смените пароль к фтп, ограничте число пользователей паролем.

Quote from: antey at Sep 15, 2009, 05:53 AM

Quote from: AsderKDW at Sep 14, 2009, 06:54 AM

Quote from: Wuron at Sep 03, 2009, 02:20 AM

Попробуй почистить папку /assets/cache/

Не помогло. >:(

Может еще что нить кто нить подскажет?

Спс.

Не помогло потому, что у вас или человека имеющего доступ к фтп сайта заражен компьютер.
1. Вылечите компьютер.
2. Смените пароль к фтп, ограничте число пользователей паролем.

Это все понятно, вопрос был - где именно гада искать.
Оказалось, что вирусом заражены файлы login.html
В папке .. /manager/media/style/ находятся 3 стиля оформления админки MODx, MODxGreen и MODxLight.
Вот в них то и находятся эти файлы login.html.
Лечение: перезалить на хост эти файлы из дистрибутива.
Всем спасибо, кто участвовал в дискуссии.

2009.06.28 было похожее и у меня - в файлы индекс.пхп и еще какие-то дописали код с инклудом на brandnameshoppin.cn Смысла этого инклуда я так и не понял. Поменял все пароли какие только можно было сменить , заменил файлы на исходные. На вирус не натыкался, хотя и не искал его вовсе. С тех пор подобного замечено не было. Ах да, кроме смены паролей и восстановления файлов - стер рефлект на всякий случай Ибо слышал звон о его уязвимости, а разбираться было некогда. Пока обхожусь без него.

В рефлекте главное было удалить файл из папки /assets/snippets/reflect с его кодом. Сам сниппет можно было оставить.

Впервые столкнулся тоже с такой проблемой, на сайт проник троян. Суть в том что он вставляет на всех страницах скрипт с содержанием (сам код я сейчас поправил чтобы ссылка не рабочая была)
Сделал следующие почистил все индекс файлы и php файлы от данного кода - в папке "менеджер" вообще ее все обновил и вернул только некоторые жизненно важные файлы. Но где то этот скрипт все же остался, я решил найти и убрать его чуть позже. И вот сегодня захожу - и вижу что этот скрипт опять прописался во все те же файлы (если не больше).
И я не могу понять откуда он взялся там? Ведь предварительно я проверил свой комп полной проверкой каспером с обновленной базой.

Подскажите, как это могло получиться и как от этого трояна избавиться?
Заранее большое спасибо!

Quote from: vj-studio at Dec 04, 2009, 04:12 AM

Подскажите, как это могло получиться и как от этого трояна избавиться?

В первую очередь измените все FTP пароли к этому сайту, на всякий случай даже к БД. Пароли скорее всего уже утащены на сервера злоумышленников, им не требуется заново красть их у Вас.
Также постарайтесь не использовать обычные FTP-менеджеры (хех, советую, а ведь сам использую Filezilla, который все пароли держит в открытом виде), в идеале нужно коннектиться к сайту с использованием шифрования.

Quote from: Fuzzy at Dec 04, 2009, 05:37 AM

Также постарайтесь не использовать обычные FTP-менеджеры (хех, советую, а ведь сам использую Filezilla, который все пароли держит в открытом виде), в идеале нужно коннектиться к сайту с использованием шифрования.

А что бы Вы посоветовали?

Ручками надо набирать ftpшные логин/пароль. После нескольуих заражений и чисток сайта(ов) я терь предпочитаю по клаве чуток постучать, чем потом всю систему лопатить.