اذا كنت صاحب موقع فهذا امر لا تقدر ان تقوم بعمله الا المستضيف
للمعلومة عادة هذا يكون هجوم Js Malicious كود جافا خبيث مشفر يقوم بضرب جميع الملفات التى تحمل الملفات بإسم index و login على الخادم فأي شخص يقوم بفتح صفحة تحمل هذا الكود يقوم الكود ببدأ عمله على اساسه توجيه الشخص لرابط معين والكود الذي قمت بسردة بعد فك تشفيره يذهب الى الراوبط التالية
كود:
- Process : iexplore.exe[552] (6)
1 13:03:09:296 0.249 s GET 302 337 text/html http://top100-counter.com/top100/index.php http://top100-counter.com/tds/in.cgi?default
2 13:03:09:562 0.265 s GET 302 518 text/html http://top100-counter.com/tds/in.cgi?default http://google.com
3 13:03:10:046 0.204 s GET 301 550 text/html http://google.com/ http://www.google.com/
4 13:03:10:375 0.124 s GET 302 568 text/html http://www.google.com/ http://www.google.com.eg/
5 13:03:10:625 0.156 s GET 200 3557 text/html http://www.google.com.eg/
6 13:03:10:812 0.124 s GET 304 79 text/javascript http://www.google.com.eg/extern_js/f/CgJhchICZWcrMBM4ACw/txcTs-aSqaA.js
اري انها روابط عادية للعدادات تقريباً ولكن الكود لا تقلق منه فلا يقوم بضرب محتوي الصفحة
الكود عادة ما تجده في اخر الصفحة او في اول الصفحة في كل ملف
الحل
اذا كنت المستضيف هو تغير كلمة مرور الخادم وايضاً المواقع المصابة ومسح الكود من جميع الملفات وعمل بحث عن اي backdoors او trojan في الخادم وايضاً عمل block لمصدر الكود اذا كان يحتوي على رابط متفيرس
والاهم من ذلك هو ترقية الكيرنيل الخاص بالخادم لإنه هو السبب الرئيسي لذلك فقد يقوم كود الجافا بالكتابة على memory الخاصة بالكيرنيل حتى اذا قمت بحذف الكود سيعاود الرجوع مرة اخري
بعد ما تقوم بعمل البحث الشامل وسد الثغرات تقوم بعمل reboot للخادم
المصدر
RETIRED: Linux Kernel Multiple Prior to 2.6.24.1 Multiple Memory Access Vulnerabilities