مشكلة غريبة .. + تحذير

[aboans20]

السلام عليكم ورحمة الله وبركاته ..

:con2:

في الحقيقة المشكلة تكررت عند كثير من العملاء لدي
ايضاً وجدتها عملاء لدى ستضافات اخرى ..

وهي كالتالي ..
1- ظهور فايرس عند فتح المنتدى واختفاء كافة الصور ..
2- تصفح الموقع يصبح بطيئ للغاية ..
3- ظهور باتش شل (99.php) في المجلد الرئسيسي public_html ولا يظهر في كافة المواقع بل بعضها .
احدها رفع من هذا الاي بي وفي هذ التاريخ
Thu Jan 04 18:58:41 2007
12.40.226.228
4- سرعة انتشار الفايرس او نفس الطريقة تحصل في وقت واحد عند اغلب العملاء ,,

المعالجة الاولى ..

اختفاء الفايرس عند اخذ باكآب ,,


امور .. لها علاقة .

جميع المواقع تحمل النسخه 3.6.0
vBulletin-3.6.0-Gold-Nullified-By-vBulletin-Team
اغلب البرامج المصابه بالفايرس vBulletin 3.6.0

ولكن هناك برنامج ايضاً اوصيب بهذا الفايرس وهو برنامج InverseFlow


...............................................
بالنسبه للسيرفر عملت له سكان .. لم يتم العثور على اي فايرس
نسخة php 4.4.4

MD5
MD5 compared: 0
Incorrect MD5 checksums: 0

File scan
Scanned files: 309
Possible infected files: 0
Possible rootkits:

Scanning took 203 seconds
.......................

تحدثت مع مهندسي الداتا سنتر حول هذه المشكلة وقد قمنا بفحص السيرفر وبرامج الphp
ولم نجد اي مشاكل .
ولكن استقرينا على ان البرنامج vBulletin-3.6.0 هووراء هذه المشكلة وبالذات هذه النسخه
-Gold-Nullified-By-vBulletin-Team

قد تجاهلت فكرت اصابة السيرفر بهذا الفايرس لانها تكررت على عدة مواقع بعيده عن السيرفر
كذلك هنالك الكثير من المواقع لم تصاب بالفايرس ..
بصراحة المشكلة حيرتني كثير ..

واتمنى تنتاقش حول هذه المشكلة .. لاني عجزت القى سبب رئيسي وراء هذه المشكلة
ارفق لكم صورة التحذير للفايرس

[aboans20]

ياشباب اخباركم ما مرت عليكم هالمشكلة ولا عندكم ..

سبب منطقي . المهم في المرفق ملف ياليت اعرف وشهو هالملف ,,لانه يتكرر في اكثر الحسابات

[إكسلنت سيرف]

PhpConfigSpy v0.1

وعند مشاهدة ما فية يتبين انة يقوم باستدعاء بينات عملاء السيرفر /etc/passwd

وهو يستخدم فى ذلك كما يبدو دالة fopen

ويقوم بالبحث عن المسارات القابلة للكتابة على السيرفر المصاب ,,

الى جانب البحث عن ملفات الكونفج المتواجة كلها ,, للحصول على اليوزر نيم وكلمة السر الخاصة منهم والسماح لة للاتصال بقاعدة بينات المنتدى او الاسكربت المتواجد ,,


للاسف اغلب استخدامة للدالة fopen

ولو قفلتها هتواجة مشكلة فى المرفقات والصور الشخصية فى المنتديات ,, هتعطل معظم اسكربتات التحميل , الاغانى ,, هتلاقى العميل بيشتكيك فى كل مكان

بالنسبة للايرور السباق اللى تكرمت وتحدثت عنة ,, فهو مقارب لفيروس انتشر من فترة عن طريق صفحات ال html و php , الفيرووس دة على حد علمى بينتشر فى كل صفحات من هذة النوعية على جهازك,

تصنيفة فى الفيروسات : Trojan-Downloader.HTML.Agent.bp

فيرس لعين بحق :>

تصور تفتح صفحة تلاقي كل الصفحات اللى عندك نفس الحالة دى :>

هتلاقى فى اخر الصفحة المصابة اى فرام ولينك لموقع صينى تقريبا :>

اتمنى تكون معلوماتى افادتك ولو فى جديد نتمنى المشاركة بة لتعم الافادة

دمتم بود

[FemtoLayer]

عطل دالة fopen يدويا وأيضا دالة proc_open

[إكسلنت سيرف]

عطل دالة fopen يدويا وأيضا دالة proc_open

فعلا هيوقف الاسكربت ,, بس عواقبة ؟

هيوقفلك اول هام المرفقات فى المنتديات

وهيعطلك رفع الصور الشخصية

ومراكز التحميل


فى علاج تانى ؟

[aboans20]

شكراً لكم .. وياليت تتكرموا بشرح تعطيل الدالة


واذا فيه حل افضل ..

لا تحرموني

[إكسلنت سيرف]

اولا قم بتحرير ملف بى اتش بى

nano /usr/local/lib/php.ini

&
قم بعمل بحث عن طريق كنترال + حرف w هكذا
Ctrl+w
وبعدين الزق كلمة ديزابل التالية
disable

هيظهرلك سطر الدوال المعطلة اضف ليها الدالة بعد علامة الفاصلة العادية هذة ,
fopen

ملاحظة : ان قمت باضافتها فى وسط السطر تاكد ان يسبقها ويليها , اية يكون بينها وبين اى دالة اخرى فاصلة

وبعدين سوى Ctrl +x
وبعدين اضغط y
وبعدين انتر

وبعدين سوى ريستارت للاباتشى عن طريق الامر

service httpd restart

وفى النهاية مبروك تم تعديل الدال :>

دمت بود

[aboans20]

يعطيك العافيه اكسلنت
...وما قصرت .. طيب اذا فيه احد من الشباب لديه حل اخر ..

ياليت . يدنا الحل ..
دون توقيف الداله ...

[سبورت قولف]

http://www.le-trial.com/forum

موقع مرفوع عليه الاسكربت