Dotaz: Zobrazeni 'podvrzene' webovske stranky (chromium, firefox, epiphany)

[Milan]

Příloha:

• Screenshot_2016-12-02_09-59-26.png (373653 bytů)

Dobry den, v poslednych tydnech jsem narazil na nasledujici problem. Snazim se pripojit na nasledujici stranku www.strelnice-sporilov.cz a jsem 'presmerovan', resp. je mi zobrazena jina stranka nabizejici brzdove desticky (DIXCEL) se spoustou japonskych/cinskych znaku + nejaka reklama na kresleny hanbaty obrazky.

Tato situace nastava v prohlizecich chromium (Version 53.0.2785.143 built on Debian stretch/sid, running on Debian stretch/sid (64-bit) , firefox 45.5.1, epiphany 2.14.2. Links zobrazi spravnou stranku. Zkousel jsem se pripojit z ruznych mist (siti) a z ruznych pocitacu, z ruznych profilu, ale s identickou konfiguraci (Debian Testing), ale vzdy jsem nasmerovan na tu podvodnou stranku.

Pokud se na tyto stranky snazim dostat z jineho operacniho systemu (win), tak se zobrazi spravne stranky.

Zkousel jsem annonymni mod, vypnout javascrip, vyhazet vsechny extensions, vycistit cache (i pomoci bleachbit), ale presto jsem vzdy presmerovan na tu podvodnou stranku. Prohlidl jsem /etc/hosts, nic podezreleho. Stranky jsem nacital take v expertnim modu (viz prilozeny obrazek), ale priznam se, ze z toho nejsem moudry. Chkrootkit vysel bez problemu.

Nevite nekdo, co by toto chovani mohlo zpusobovat? Nebo se zkusit na danou stranku pripojit z vaseho linuxu (nejlepe Debianni distribuce) a rict mi, zda mate stejny problem, coz by indikovalo problem na strane serveru. Dekuji za pripadnou pomoc.

Odpovědi

[NN]

Ja na tom screenu vidim dva javascripty, ktere odkazuji do Japonska. Stranka je napadena..

[Milan]

Dekuju za odpoved.Tech jsem si take vsimnul, nic jsem o nich nezjistil. Ale i kdyz jsem vypnul javaskripty v prohlizeci (to asi neovlivni chovani serveru, ze? - nejsem odbornik), tak se stejne nacetla ta podvrzena stranka. Take je zahadou, proc se v jinem operacnim systemu (win ve VirtualBoxu) stranka zobrazi ok.

[Petr]

Mě se stránka zobrazí normálně. Prohlíženo v Salix/Firefox

[vencour]

Příloha:

• jp-strelnice-sorted.txt (8257 bytů)

Taky tam mam "ropzsypanej čaj". Viz příloha.
Pokud se to někomu neukazuje, neni schovaný za nějakou proxy nebo inteligentním firewallem?
Mimochodem jsem z venku z internetu na IPv4, nevrací server obsah podle nějakého rozlišení klienta/prohlížeče?

[Milan]

Pripojoval jsem se z pocitace Debian Testing (aktualizovany, ciste iptables, chromium) a na nem instalovany VirtualBox (Win7, chrome). Vysledek Debian=rozsypany caj, Win=puvodni (spravne) stranky. Z toho usuzuji, ze to bude neco "selektivni", projevujici se pouze na Debianu (resp Linuxu).

[petr_p]

Je to podle hlavičky User-Agent. Když obsahuje „Linux x86_64“, tak jejich server vrátí japonskou stránku. Jinak českou.

[vencour]

Má pravdu, předsedo ... původně jsem měl nastaveného user agenta "windows 7 a ie9" jen na www.strelnice-sporilov.cz a měl jsem čaj. Přidal jsem tam i www.strelnicesporilov.cz a už vidim Střelnici lovčího Huberta.

[lertimir]

Potvrzuji, že na některých možnostech dá stránka japonce. na web-snifferu volba můj agent a googlebot dali japonskou stránku ostatní normální.

[vencour]

Když jdu z vps, tak mne whatismyip identifikuje na IPv6. A rozsypanej čaj mam na střelnici stejně.

[Petr Šobáň]

Jo je to napadené, dlouho to načítá a pak se to přesměruje na rozsypaný čaj.

[vencour]

To jsem z toho ... na Woknech zadam www.strelnice-sporilov.cz, cca 5 vteřin chroupání a skončim na tom samém URL, ale vidim "U lovčího Hubeta", japonci nikde.
Tj. původně jdu na 46.28.105.4 a skončím na 46.28.105.149. Přímý přístup na IP hází chybu (Hosting Wedos, stránka nenalezena).

[vencour]

A když jdu na [2a02:2b88:1:4::18], tak skončím na https://hosting.wedos.com/cs/.

[Milan]

Ja z toho taky jelenim. Vykazuju uplne stejne symptomy. Ten lovci Hubert je spravna stranka. Asi napisu spravci (jak strelnice, tak webu) a informuju ho tomto problemu.

[Petr Šobáň]

wedos má víc www serverů pro rozdělení zátěže tak jak seznam a podobně takže v tom problém nebude, problém bude v napadené stránce, kde bude skript na přesměrování.

[Jooky (inactive)]

Příloha:

• Screenshot from 2016-12-02 13-24-26.png (77481 bytů)

Ta stranka je neskutocne zle nastavena a s velkou pravdepodobnostou aj hacknuta.

Ked pouzijem wget, curl a chrome na linuxe a windowse, tak zakazdym dostanem iny vysledok.
- Linux -> cinsky bordel ako na screenshote
- Windows -> vacsinou spravna stranka
- wget -> prvy pokus "Our website is protected by DMC Firewall! \br \ This script was created by Dean Marshall Consultancy Ltd who are \a href="http://www.webdevelopmentconsultancy.com/" target="_blank"\Joomla Securi (zobaciky som nahradil za \, zobrazi sa len to, nic viac). Dalsi pokus hlasi "403 Forbidden" a zablokuje to vsetky zariadenia na sieti.
- curl -> random veci z toho, co som pisal

Tej stranke dost trva, nez nieco posle po pripojeni na port. Z toho, co vidim, mam pocit, ze sa snazia o nejaku "ochranu" redakcneho systemu, ale zjavne im to tak nejde :D Spravil som 2x wget a vyblokovali korporatny proxy server :D Takto im asi nepojde business :)

Ak ma niekto na nich kontakt a chut, tak bude dobre im to povedat ...

[Milan]

Zdravim vsechny a dekuju za prispevky a postrehy. Zaver je vysoce pravdepodobne hacknuty web. Kontaktoval jsem spravce a problem mu popsal. Kdyztak kdyby byla nejaka zajimava (rozumej IT) zpetna vazba, tak ji sem vlepim.

[lertimir]

i ten začátek, když mají dvě přesměrování než se dostanou na stránku je blbě. (ale microsoft.cz jich má 5 tak co.)