 |
ВНИМАНИЕ!!! Загрузили вирус на сайт!
| Автор |
Сообщение |
|
Д митрий
Зарегистрирован: 11 апр 2016, 17:13
Сообщения: 247
|
Всем привет! ВНИМАНИЕ!!! ОПАСНОСТЬ!!!Ситуация "весёлая".  На почте всё завалено письмами счастья от Mail.ru abuse report (Feedback Loop). Читаю подробности, смотрю заголовки отправленных писем: " Срок действия пароля истек". Не понял! У меня таких заголовков в рассылке скрипта доски нет  Захожу в postmaster.mail.ru и обнаруживаю, что с 25 сентября с моего домена и почтового ящика ведётся массовая рассылка спама. Причём идёт выманивание данных от электронных кошельков или доступов в онлайн-банк. Несколько сотен писем отправлено с моего почтового сервера (почтового ящика) с просьбой восстановить пароль к тому или иному кошельку. Естественно все ссылки ведут на фишинговые сайты, где мошенники выманивают логины, пароли и кодовые слова...  Домен попал в чёрный список и теперь даже "настоящие" письма с сайта отправляются в папку спам в лучшем случае, а на самом деле похоже письма вообще могут блокироваться на серверах почтовиков. Объявления пользователей остаются неподтверждёнными. Изучаю детали. Смотрю логи. Выясняется, что рассылка ведётся с подгруженного на сайт (видимо через загрузку картинок) скрипта:  В папке /uploads/images обнаруживаю аж три файла:  Один из них точно инородный, судя по логам: arso.php Сам файл: НЕ ВЛЕЗАЕТ. ПРЕВЫШЕНО КОЛИЧЕСТВО СИМВОЛОВ...Пока снёс все три файла из этой папки.arso.php, amsettings.php и 751-eb6d80f6fa6bf22d869c8ac6c5bdbc7b.phpВ общем за 25 сентября: 
Последний раз редактировалось Д митрий 27 сен 2018, 17:22, всего редактировалось 1 раз.
|
| 27 сен 2018, 14:52 |
|
|
|
Д митрий
Зарегистрирован: 11 апр 2016, 17:13
Сообщения: 247
|
Это часть файла (кусок кода(текста) из файла arso.php), так сказать его описание наверное:Код: Для просмотра Вы должны быть в группе пользователей Elite-Board.
Установка йаПосылалка 2.0+ на веб сервера (хостинг, VPS, Dedicated)
Большие почтовые рассылки с помощью йаПосылалка (использование шеллов)
Рандомизация изображений в письмах йаПосылалка через Image Randomizer
Внимание, за использование данного ПО несете ответственность только Вы. Покупка данного ПО дает вам право на обновления в пределах текущей ветки, поддержку и внесение предложений по доработке.
Что это?
Это скрипт анонимной отправки электронной почты йаПосылалка в текстовом или html формате с возможностью прикрепления файлов. С его помощью вы можете отправить письмо от имени любого отправителя.
Как это работает?
йаПосылалка рассылает через SendMail (функция mail() в php), протокол позволяющий отправлять письма не авторизуясь на сервере, это дает возможность доставить письмо от любого почтового ящика. Скрипт написан на PHP5 и для отправки нуждается в наличии SendMail на сервере.
Зачем нужна йаПосылалка?
Для вашего удобства =). Отправка программно очень простая, йаПосылалка обеспечивает удобный интерфейс и инструменты. В ней есть шаблоны писем, макросы, отправка через шеллы (внешние серверы), фоновая отправка.
Письма не приходят!
В 99% случаев то что письма не приходят зависит от сервера на котором распроложена йаПосылалка или шелла через который они отправляются. 1. Проверьте наличие SendMail на сервере (например уточните у технической поддержки) 2. Если йаПосылалка рассылает через шеллы убедитесь, что на сервере разрешены сетевые запросы (php команда "echo file_get_contents(\'http://google.com/humans.txt\');" выводит "Google is built by a large team of engineers, designers, researchers...") 3. Проверьте вручную может ли сервер отправлять письма, php команда: mail("тестовый@ящик.ru","тестовое письмо","содержимое тестового письма");
Что такое режим html(e)?
Это вариация режима html, где все картинки из тегов и атрибутов background автоматически выкачиваются и превращаются в аттачи письма, таким образом письмо при открытии не обращается в к внешним сайтам. Это позволяет ему мгновенно отображаться в почтовых клиентах и gmail.
Какие макросы доступны?
Название Формат Пример Где работает
Кому [TO-EMAIL] [TO-EMAIL] Везде кроме поля "Кому"
От кого, имя [FROM-NAME] [FROM-NAME] Везде кроме поля "От кого, имя"
От кого, email [FROM-EMAIL] [FROM-EMAIL] Везде кроме поля "От кого, email"
Адрес ответа [REPLY-EMAIL] [REPLY-EMAIL] Везде кроме поля "Адрес ответа"
Тема [THEME] [THEME] Везде кроме поля "Тема"
Допольнительное поле [ADD#] где # это номер дополнительного поля считая с 0 [ADD0] Везде кроме соответствующего доп.поля
Случайное число (5000-6000) [RAND] [RAND] Везде
Случайное число в диапазоне [RAND-от-до] [RAND-1-10] Везде
Случайный текст (из вариантов) [RAND:Вариант 1|Вариант 2|И так далее] [RAND:Привет|Здравствуйте|Приветствую] Везде
Перечисление вариантов текста [ENUM:Вариант 1|Вариант 2|И так далее] [ENUM:Первое|Второе|Третье] Везде
Многократное повторение строки [(Строка)*#] где # число сколько раз повторять строку [(бе)*3] Везде
Построчный вывод из файла лежащего в папке йаПосылалки [FILE:имя_файла.txt] [FILE:jokes.txt] Везде
Построчный вывод из заданного URL [URL:http://адрес.com] [URL:http://www.google.com/robots.txt] Везде
Текущая дата [DATE] \ [DATE-#] \ [DATE+#] где # количество дней которое надо вычесть или прибавить к текущей дате [DATE] [DATE+5] Везде
Текущий день [DAY] \ [DAY-#] \ [DAY+#] где # количество дней которое надо вычесть или прибавить к текущему дню [DAY] [DAY+5] Везде
Текущий месяц [MONTH] \ [MONTH-#] \ [MONTH+#] где # количество месяцев которое надо вычесть или прибавить к текущему месяцу [MONTH] [MONTH+5] Везде
Текущий год [YEAR] \ [YEAR-#] \ [YEAR+#] где # количество лет которое надо вычесть или прибавить к текущему году [YEAR] [YEAR+5] Везде
Текущее время [TIME] \ [TIME-#] \ [TIME+#] где # количество минут которое надо вычесть или прибавить к текущему времени [TIME] [TIME+5] Везде
Текущий час [HOUR] \ [HOUR-#] \ [HOUR+#] где # количество часов которое надо вычесть или прибавить к текущему часу [HOUR] [HOUR+5] Везде
Текущая минута [MINUTE] \ [MINUTE-#] \ [MINUTE+#] где # количество минут которое надо вычесть или прибавить к текущей минуте [MINUTE] [MINUTE+5] Везде
Используемый шелл [OUTSERVER] [OUTSERVER] Везде, при рассылке через шеллы.
Строчные макросы поддерживают вложеность друг в друга и в себя самих. Например [([RAND])*5] Через макрос [FILE] в поле "Кому", можно организовать отправку писем людям из файла на сервере. А через макрос [URL] разослать письма людям из файла с удаленного сервера.
Как рассылать много писем?
Для отправки действительно большого количества писем одного сервера становится мало. йаПосылалка предоставляет инструменты для отправки через множество серверов. Управление внешними серверами происходит через шеллы:
wso2 (оригинальная версия с rdot.org)
ARS (скрипт ремейлер - заменитель шеллов, в поставке скрипта)
r57
c99
Прописать шеллы можно на соответствующей странице настоек, формат построчный:
Путь к шеллу|тип шелла|пароль от шелла
В тех случаях когда на шелле кроме пароля есть так же логин используется формат
Путь к шеллу|тип шелла|логин от шелла:пароль от шелла
На вкладке настройки внешних серверов доступна быстрая проверка шеллов, она проверяет что адреса корректны, пароли подходят, а сами шеллы выполняют команды.
Если ведется рассылка через шеллы, то с сервера где стоит сама йаПосылалка письма уже не отправляются. Если необходимо отправлять письма и с этого сервера, загрузите на него шелл и добавьте его в список шеллов.
Так же для повышения успешности доставки можно поэксперементировать с параметрами задержки и количеством потоков.
Внимание! Для работы с шеллами должна быть загружена папка "shell"
Внимание! Модули для работы с r57 и c99 могут детектироваться как вредоносные, в этом случае их лучше не загружать.
Что такое шелл?
Это миниатюрный скрипт облегчающий удаленное управление сервером. Это удобнее для автоматизации множества задач, а так же часто быстрее чем доступ через консоль или по FTP. Шелл можно получить скачав один из вариантов из интернета и загрузив на сервер. Или его можно купить, на некоторых форумах продают серверы на которые уже установлен доступ через шеллы.
Что такое потоки и как их использовать
Потоки это несколько параллельных отправок писем. Предположим у вас есть 8 писем которые надо доставить и 4 потока. Запустив рассылку, каждый поток возьмет себе по письму,(осталось отправить 4) когда какой-нибудь из них закончит доставку он возьмет еще одно (осталось доставить 3), и так далее, пока все письма не будут доставлены. Задержка влияет на каждый поток по отдельности, тоесть если задержка установлена на 10 секунд, то каждый поток отправив письмо будет ждать 10 секунд. Внешние сервера берутся поочередно, потому если установить количество потоков равным количеству шеллов вы сможете получить максимальную скорость отправки (но и максимальную смертность шеллов), при таком интенсивном использовании шеллы быстро выйдут из строя. Но этого можно избежать установив достаточно большую задержку. При фоновой отправке потоки не используется, возможно в будущем это будет изменено.
Как использовать фоновую рассылку?
Включите данную опцию в настройках. Заполните все поля настройки рассылки (кому, доп поля, внешние серверы, задержка) и нажмите кнопку "Отправить", йаПосылалка запустит фоновый процесс отправки на сервере, это произойдет не мгновенно будте терпеливы. Примерно через 5-8 секунд в йаПосылалке начнет обновляться прогресс бар и лог отправки. Если вы обновите страницу или закроете браузер и вернетесь на страницу позже вы обнаружите, что рассылка не прекращалась, а идет на сервере в фоновом режиме. Вы можете остановить рассылку нажав кнопку "Остановить". Если сервер на котором находится йаПосылалка будет перезагружен рассылка остановится. В последующих версиях планируется способ автоматического перезапуска фонового процесса.
Как установить пароль?
На вкладке Безопасность в Настройках введите логин и пароль и нажмите "Установить пароль". Чтобы сбросить пароль нажмите "Удалить пароль" или установите пустые логин и пароль. Так же на этой вкладке доступен параметр HTTP Прокси, которую йаПосылалка может использовать для взаимодействия с шеллами.
Визуальный редактор портит мой код!
Визуальный редактор пытается валидировать ваш код (делать его верным по всем стандартам), однако иногда это не нужно и наоборот мешает. В этом случае если вы работаете в режиме исходного когда (кнопка "<>"), то нажимая Отправить\Предпросмотр из этого режима, валидации проводиться не будет.
Как персонализировать письма?
Для персонализации вы можете использовать следующие методы:
1) Указывать получателя в формате: Имя Получателя <почта@получателя.ru>
2) Указывать персональные значения дополнительных полей в строке получателя в формате:
recipient@email.com;ADD0;ADD1;...
или
My Recipient <recipient@email.com>;ADD0;ADD1;...
Как использовать йаПосылалка вместе с Image Randomizer?
Скрипт можно использовать вместе с рандомизатором изображений Image Randomizer. Для этого можно использовать ссылку напрямую в html тегах для режима Image и макрос йаПосылалка [URL:api link] для режимов "Img тэг" и "Background+css". В первом случае достаточно разместить макрос в нужно местто на странице, а во втором поставить его на место атрибута в нужном теге (например div или table).
|
| 27 сен 2018, 16:13 |
|
|
|
Д митрий
Зарегистрирован: 11 апр 2016, 17:13
Сообщения: 247
|
|
| 27 сен 2018, 16:19 |
|
|
|
Д митрий
Зарегистрирован: 11 апр 2016, 17:13
Сообщения: 247
|
Отписался о проблеме в службу поддержки illusionweb.ru. illusionweb support мгновенно отреагировал.  Молодцы!  Сейчас ведётся работа по данной проблеме.
|
| 27 сен 2018, 17:27 |
|
|
|
Geo
Администратор
Зарегистрирован: 20 сен 2010, 21:15
Сообщения: 2966
|
Действительно, обнаружилась серьёзная уязвимость, скачать патч можно по ссылке. Скоро будет оповещение по электронной почте.
|
| 28 сен 2018, 14:21 |
|
|
|
MIHALICH
Зарегистрирован: 25 фев 2016, 18:46
Сообщения: 453
|
Geo писал(а): Действительно, обнаружилась серьёзная уязвимость, скачать патч можно по ссылке. Скоро будет оповещение по электронной почте. отлично оперативно
|
| 28 сен 2018, 14:22 |
|
|
|
Равиль
Зарегистрирован: 19 ноя 2017, 18:54
Сообщения: 347
|
Спасибо за оперативное обновление. Тему бы чуть подчистить, а то выглядит как пособие.
|
| 28 сен 2018, 15:12 |
|
|
|
Д митрий
Зарегистрирован: 11 апр 2016, 17:13
Сообщения: 247
|
Равиль писал(а): Спасибо за оперативное обновление. Тему бы чуть подчистить, а то выглядит как пособие. Пособие для чего??? Как загрузить шелл на сайт? Или информация о древнем скрипте php-mail-рассылщика?  Да сейчас этим никого не удивишь... Сейчас любой школьник в первую очередь изучает матчасть как делать ту или иную пакость и практикуется "на кошках", чтобы раздобыть маленько деньжат нахаляву. Информации в интернете, так сказать подобных "пособий", масса и на все случаи жизни. Да и вообще. Это сейчас даже как то стало в порядке вещей. Есть добро и есть зло и эти два понятия друг без друга не имеют права на существование. А вот пособие для новичков или неопытных пользователей о том как найти у себя на сайте шелл или инородный скрипт - по моему очень даже уместно. Но хорошо! В следующий раз могу тему и не создавать...
Последний раз редактировалось Д митрий 29 сен 2018, 08:03, всего редактировалось 3 раз(а).
|
| 29 сен 2018, 07:24 |
|
|
|
Д митрий
Зарегистрирован: 11 апр 2016, 17:13
Сообщения: 247
|
Geo писал(а): Действительно, обнаружилась серьёзная уязвимость, скачать патч можно по ссылке. Скоро будет оповещение по электронной почте. Спасибо за решение проблемы. Жаль только, что об этом я узнал не первым
|
| 29 сен 2018, 07:30 |
|
|
|
Д митрий
Зарегистрирован: 11 апр 2016, 17:13
Сообщения: 247
|
Открываю гугл аналитику и вижу:  НУ И НАГЛОСТЬ, думаю я. Понравилось похоже... Смотрю логи, думаю, если тот же ай-пи, то забаню. Но нет, адрес другой: 37.58.59.15  Похоже всё в порядке, в папке /uploads/images/ РНР скрипт не обнаружен!!! 
|
| 30 сен 2018, 15:34 |
|
|
|
Страница 1 из 2
|
[ Сообщений: 11 ] |
Кто сейчас на конференции |
Сейчас этот форум просматривают: нет зарегистрированных пользователей и гости: 0 |
|
Вы не можете начинать темы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете добавлять вложения
|
Вы не можете начинать темы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете добавлять вложения
|
|
