我的網站也被殖入病毒><" Help!!!

[domainplayer]

是這樣的,
我最近到一些地方徵人幫我寫英文文章, 我要用在taipei.info上.

我給的報酬不算低,但一直都沒有人回應,
覺得很奇怪...

前陣子才有人跟我說我的網站上有病毒,
但是我自己的電腦卻針測不到,
我貼在namepros上請人幫忙:
http://www.namepros.com/web-design-discussion/352859-joomla-problem-help.html
也沒人針測到病毒.

但我今天請了好幾個同學幫忙試,
都說有病毒....

可以請各位版友幫忙檢測一下嗎...
如果知道是哪裡有問題...也煩請指導...
感激不盡...!!!

[kjl]

看代码,看代码~~~叫你说有病毒的同学把原码下下来看看~~~我现在才知道局域网是多么的害人了~~~

[domainplayer]

他們一看到有病毒就嚇得關掉視窗了,
希望各位懂的版友幫忙><"
謝謝了...

[some]

原始html都很正常沒異狀阿

@@

病毒名是??

[domainplayer]

我再問問看我同學,
這邊大家進去都是正常嗎??

[kjl]

我要换网络的服务商了,局域网实在是太害人了~~~

[domainplayer]

我要换网络的服务商了,局域网实在是太害人了~~~
我不太懂你的意思?
什麼是局域網?

[kjl]

简单的说局域网应该就是许多台电脑相互连接成一个网络并使用一根网线与inter网连接~~~很简单的判断，你是用ADSL还是用什么方式上的网？ADSL是使用拨号的方式上网，它就是一台电脑使用单一的网线与inter网连接，这就不是局域网~~~如果你是直接通过输入帐号和密码的方式上网很有可能就是局域网~~~局域网的最大害处就是只要是其中一台电脑中了病毒那么网内所有的电脑都被感染~~~
大学里面的电脑一般都是使用的局域网~~~
我可以保证自己的电脑不中病毒，但是我不能保证别人的电脑不中毒，我最近真是领教了局域网的厉害了~~~哪怕和inter连接但是你的电脑不上任何网站都能中毒~~~

[哈啦]

我看了沒啥問題，只是不知你用的joomla模版是否有什麼外掛，需要執行微軟的一個什麼玩意兒？我按准行執行後，也不知這是幹嘛的？你的模版在哪弄的？

http://img162.imageshack.us/img162/4388/39328725kr5.gif

[kuer]

如果DP大指的是，www.taipei.info ，沒有病毒，別的不敢說，對於流行病毒，小弟還可以說上幾句。
可能是你朋友安裝的防病毒軟體，對某個Cookies敏感

[domainplayer]

感謝各位!
我自己本身也有和哈啦兄同樣的狀況,
但不知為什麼只有在每次開機後第一次進入時會跳出來,第二次訪問就不見了.
我在想這個東西應該就是別人針測到的病毒,
只是不知道是哪段碼造成的,
我看了好久也找不出來....

有哪位大德可以幫忙detect嗎....
感激不盡....

PS. 感謝kuer兄與KJL兄! ~yes

[kuer]

不留意，發現kaspersky曾報過漏洞攻擊，但不顯示完整來路，估計是kaspersky 誤報
小心起見，我重新關閉了kaspersky，並重新清空IE緩存及Cookies，重新登入taipei.info,等網站loading 完全後，再從IE緩存資料夾收集下載下來的全部文檔，包括幾個圖檔，及2個js腳本，還有3個css，打開檢視代碼，仍然沒有找到問題。
升級kaspersky後，不再出現報告，應該只是kaspersky誤報

[kuer]

沒有發現哈大的情況！

[milokelly]

我也沒看到病毒... 我用FireFox 2.0.0.6

[ras0314]

我在外面網咖

我開一下子...他會自己關掉耶

網頁會被關掉

[domainplayer]

不留意，發現kaspersky曾報過漏洞攻擊，但不顯示完整來路，估計是kaspersky 誤報
小心起見，我重新關閉了kaspersky，並重新清空IE緩存及Cookies，重新登入taipei.info,等網站loading 完全後，再從IE緩存資料夾收集下載下來的全部文檔，包括幾個圖檔，及2個js腳本，還有3個css，打開檢視代碼，仍然沒有找到問題。
升級kaspersky後，不再出現報告，應該只是kaspersky誤報
我有在想,
會不會是這域名的前擁有者曾在網上放過或被殖入過病毒,結果導致某些防毒軟體留下紀錄,
即使現在已經沒病毒了,有裝那些antivirus soft的人還是會被阻擋.... ~dead

[domainplayer]

我在外面網咖

我開一下子...他會自己關掉耶

網頁會被關掉

對對!!!
我有好幾個同學都這樣說,
其中有一個更奇怪,
我傳給他的msn訊息,
只要一包含"taipei.info"他就無法收到,
其它任何字都正常....
這倒底是怎麼回事,
taipei.info被Microsoft和各家防毒軟體討厭了嗎... :collapse

[kuer]

我有在想,
會不會是這域名的前擁有者曾在網上放過或被殖入過病毒,結果導致某些防毒軟體留下紀錄,
即使現在已經沒病毒了,有裝那些antivirus soft的人還是會被阻擋.... ~dead

DP大，不會有你說的情況，antivirus soft updata後，是會修正這些

[kuer]

我在外面網咖

我開一下子...他會自己關掉耶

網頁會被關掉

沒有遇到你說的情況 ~rusure

[kjl]

好象是被封了???这和大陆的QQ有点像,QQ会自动屏蔽一些恶意的网址~~~

[kuer]

我也沒看到病毒... 我用FireFox 2.0.0.6

網站流傳的病毒，基本上，99%都是利用IE的漏洞實現傳播，因為IE漏洞多，用戶基數大，並且使用IE基礎用戶多，不太會主動更新防護。

[kjl]

可以请R大解释一下Shell WebView Content & Control Library是干什么用的~~~

[Lake]

帮 DP 大很危险的测试了一下
之所以说危险是因为我从来不用防毒软件以及防火墙等程序

纯粹利用一下自己的 电脑常识 测试
现象基本如下：
打开 taipei.info 之前打开 任务管理器
然后打开IE访问，会提示需要运行 ActiveX ，这时候不要理会放到一边或点 X 关闭，而非“确认”
首先注意是否有多余的进程运行——》regscan.exe
当这个进程启动之后，IE 出现假死状况，安全设置高的可能会造成 IE 关闭等现象

google 一下知道 regscan.exe 是一款 后门型病毒，大陆这边叫做 波特后门，不晓得台湾那边是如何称呼的，病毒英文似乎应该这么写
Trojan.W32.Rbot

顺便从服务器上打开 antivir 测试，提示是一款 EXP 病毒。

到这里就不再使用 FireFox 测试了，想来DN大应该知道如何处理了

[domainplayer]

帮 DP 大很危险的测试了一下
之所以说危险是因为我从来不用防毒软件以及防火墙等程序

纯粹利用一下自己的 电脑常识 测试
现象基本如下：
打开 taipei.info 之前打开 任务管理器
然后打开IE访问，会提示需要运行 ActiveX ，这时候不要理会放到一边或点 X 关闭，而非“确认”
首先注意是否有多余的进程运行——》regscan.exe
当这个进程启动之后，IE 出现假死状况，安全设置高的可能会造成 IE 关闭等现象

google 一下知道 regscan.exe 是一款 后门型病毒，大陆这边叫做 波特后门，不晓得台湾那边是如何称呼的，病毒英文似乎应该这么写
Trojan.W32.Rbot

顺便从服务器上打开 antivir 测试，提示是一款 EXP 病毒。

到这里就不再使用 FireFox 测试了，想来DN大应该知道如何处理了
感謝告知!!
但我不知如何處理...
為什麼我的網站裡面會有這樣一個病毒存在,
可否請Lake大大再幫忙解惑一下....thanks!

[kjl]

是不是ARP欺骗植入了恶意代码???

[哈啦]

這個真的算是病毒嗎？怎會說是微軟發行的？

[Lake]

回 哈大：病毒不是 微软 发布的，但漏洞是微软造成的，windows 系统上的漏洞难道不是 微软的吗？事实上 如 21 楼所言，这些病毒多数都是由 微软 的漏洞造成，又因为很多用户不及时 update 造成。不过我在本页内似乎没这么说~~~~

回 DP 大：可以将你的网站程式连同所有生成的 HTML 文件下载至你电脑上，使用杀毒软件查杀，或者尝试使用 http://db.kingsoft.com/download/3/238.shtml 。 据说 viking 的专杀工具也可以杀掉此病毒，未经证实。

其实我还在考虑是否是 DP 大所使用主机中了病毒呢。DN 大检查的时候最好查一下网页代码中是否有连入到别家站点的信息。另外，看到 DP 大那里有一张很大的图片（第一张），可以尝试将这张照片去除，再请同学们访问看是否还有病毒。

[哈啦]

那我們剛才接受了那個提示而允許執行的，不都中了病毒了？

[Lake]

那我們剛才接受了那個提示而允許執行的，不都中了病毒了？

我最后忘记提醒大家都使用那款工具清理下病毒了。
可以简单检测下你是否中病毒的方法。
开机后——》任务管理器——》进程
查看是否有 regscan.exe 进程

打开注册表：开始——》运行——》regedit——》HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
查看其下是否有 regscan 键值

基本上现在所有的杀毒软件都可以杀掉这款病毒

[Ricado]

這根本不是什麼漏洞。
首先，網頁要存取 Remote Data Service ，這個預設是關閉的，因為惡意程式要讀取這個元件，被 IE 擋住了。訊息是告訴你有程式碼試圖執行微軟所提供的這個元件，問你要不要允許。所以問題不是在元件上，而是執行元件的指令碼。

另外網頁上還有兩段很奇怪的 Script
一段是
function GetRandString(len)

亂數產生字串

接下來另一隻 Function

function MDAC()

會嘗試執行

"c:\\sys"+GetRandString(4)+".exe"

[Lake]

感谢 R 大上课，其实我没去看代码了，只是打开网页的时候纯粹的手工检查，看 R 大的解释代码，会不会是自动下载软体到指定位置，然后下面指定运行？是不是病毒不太清楚了，但据我昨天晚上查了些资料后发现，Trojan.W32.Rbot 本身会自动去下载一些病毒原体。
另外发现图片打开的时候会导致IE假死，查看进程发现下软体下载运行了。并且改写了注册表，实行自启动。
所以才在服务器上打开杀毒软件查看网页，提示是 EXP 类病毒（就是攻击程序。）

[roger]

我剛連上 www.taipei.info 也沒有什麼問題
我是用 KKMAN , 台中 so-net 連線的, 一切正常喔

[domainplayer]

救命呀!
我架在同一主機的其它網站也出現了相同症狀,
下面這個:
http://www.kinmen.net/gallery/
還有 http://www.taipei.info

進入後都會跳出問我要不要執行一個東西的視窗,
而且程式的話面都亂掉了...
這倒底是怎麼回事...
有沒有人能幫幫我...嗚... ><"

[哈啦]

進入後都會跳出問我要不要執行一個東西的視窗

http://img179.imageshack.us/img179/5904/42604538hb4.gif

又是這個提示，有人確切知道到底這是什麼嗎？

[domainplayer]

http://img179.imageshack.us/img179/5904/42604538hb4.gif

又是這個提示，有人確切知道到底這是什麼嗎？

我問了很多人,
只有哈啦兄和我有同樣情況,
其它多半是完全沒任何異樣,
不然就是針測出有病毒...

我在想可能是被駭客亂殖入了什麼東西...
因為之前有個老外一直想跟我買taipei點info
但我不賣,最後有點撕破臉...

[some]

救命呀!
我架在同一主機的其它網站也出現了相同症狀,
下面這個:
http://www.kinmen.net/gallery/
還有 http://www.taipei.info

進入後都會跳出問我要不要執行一個東西的視窗,
而且程式的話面都亂掉了...
這倒底是怎麼回事...
有沒有人能幫幫我...嗚... ><"

把現在您在用的window系統更新看看
或用新版的IE..

[kuer]

DP大，最好先排查是那一方面的問題
試試把website換成默認的style，再讓大家看看是不是還是這樣的情況，排查是那一方面的原因

[Lake]

关于 VML 可以在microsoft 的msdn上查询了解。
那句话的意思就是说要安装运行 VML ，可能是你 IE 版本低的缘故。
另外，VML 之前也出现过漏洞，hacker 们是可以用来攻击IE用户并植入木马的。
http://www.nspcn.org/forum/search.php?searchid=5&orderby=lastpost&ascdesc=desc&searchsubmit=yes

ps：未检测出和你一样提示的有两种情况：
1、先假设没有病毒，那就是他们的IE版本低的缘故
2、预设是有病毒的，那么凡是不提示的已经中了病毒。当然提示的也并不是就没中。反正 VML 本身是 microsoft 提供的一个正常组件程序。

[哈啦]

我的狀況是在使用IE7的情況下出現的。

[domainplayer]

我昨晚為了找出問題,測試到凌晨三點多,
我目前用的就是最新版的IE 7,
系統是Vista.

每次只要一重新開機後,
第一次進入taipei.info,或著我的相簿( http://kinmen.net/gallery/ ),這兩個架在同一主機中的不同程式.
畫面都會變成如下這樣(上方出現一個ActiveX, 左上的畫面出現一些無法正常顯示的奇怪東西,如紅框框所示)
http://www.ufo.tw/taipei.png

但在第二次訪問之後,不管重新整理多少次,畫面都恢復正常:
http://www.ufo.tw/taipei2.png

我的相簿是用Coppermine Photo Gallery,
taipei.info則是使用Joomla,出現的狀況都是這樣,
我的主機除了架這兩個php以外,
就沒裝其它php,所以無從得知其它php是否也會出現這樣的情況.


我昨晚還問了兩個瀏覽我網站而中毒的同學,
他們用的防毒軟體, 有一個是用Norton,
另一個是一款叫"德國小紅傘"的防毒軟體,
都針測到他們被Trojan給感染了, 不過已被他們用的防毒軟體隔離.

於是我就跑去裝了最新版的Norton來測試,
但什麼病毒也沒發現, 狀況還是跟上述兩張圖片一樣,
不知道是因為Norton版本的關係還是作業系統與瀏覽器的問題,我的同學用的大概都是XP和IE 6. :hitwall

[domainplayer]

我在資安論壇上詳細的把事情說了一遍:
http://forum.icst.org.tw/phpBB2/viewtopic.php?t=12793

大家可以上去看看...
懇求各位大大幫忙. :collapse

[dale]

聽起來有點像是 iframe injection。

但首先必須分清楚究竟是站上出問題還是 domainplayer 兄的電腦出問題。就算是新下載的掃瞄軟體也不能信任。建議先在 safe mode with Internet connectivity 下利用線上軟體檢查一次。可以考慮 BitDefender (http://www.bitdefender.com/)、Panda Software ActiveScan (http://www.pandasoftware.com/products/ActiveScan.htm)、Trend Micro HouseCall (http://housecall.trendmicro.com/) 等網站。

如果這樣還查不到問題，再考慮請 server management 公司來看看，ConfigServer 聽說很不錯。

p.s. 是用 cPanel 嗎？

[888]

我用 IE6 上 taipei.info 第一次有相同的畫面移位, 第二次之後顯示正常. 但病毒軟體沒有警告.

是 Linux 的伺服器嗎? 建議用 sysresccd.org 的光盤起動, 跑 chkrootkit 一次 (check root kit).

[domainplayer]

p.s. 是用 cPanel 嗎？
Yes,
是用cPanel.

[domainplayer]

我剛剛又發現,
除了上述的兩個網站外,
我之前還有在我空間內架設一個留言板 ( http://www.bazaar.info/guestbook/display.php ),
結果剛剛跑到那邊一看....
還是一樣出現了和taipei.info相同的症狀 (這個畫中只有留言板部分是架在我的主機,其它HTML部分都不是在我主機內):
http://www.ufo.tw/kinmen.png

所以看起來,架在那空間中的php都受到了影響...
是不是運行所有php的什麼部分被竄改了?
這要去查什麼地方呢?......

感激不盡.....

[Ricado]

檢查看看有沒有多出來的檔案，例如 index.htm, index.html

或是比較

http://taipei.info/index.htm

http://taipei.info/index.php 有什麼不同的結果

多試幾次，有時候使用 index.htm 是可以通的，而且藏有 script 。

建議既然預設首頁是 index.php ，可以把 index.htm 等不相干的停用或是將優先順序排到後面。

另外目前 http://taipei.bazaar.info 還是可以通，可以先停掉嗎？

[domainplayer]

檢查看看有沒有多出來的檔案，例如 index.htm, index.html

或是比較

http://taipei.info/index.htm

http://taipei.info/index.php 有什麼不同的結果

多試幾次，有時候使用 index.htm 是可以通的，而且藏有 script 。

建議既然預設首頁是 index.php ，可以把 index.htm 等不相干的停用或是將優先順序排到後面。

另外目前 http://taipei.bazaar.info 還是可以通，可以先停掉嗎？
我查過了,
taipei.info的資料夾內,和index.php同一目錄下沒有其它叫index.html或index.htm的檔案.
而且這支程式的資料夾裡,
都沒有最近被新增或改過的檔案.

我覺得既然是所有php都出問題,應該不太可能是被一個一個竄改,因為這三支程式的性質都不一樣,
我從未同時把它們貼在某個地方過....
我想如果在同一空間內,再架設新的php程式, 應該還是會出現一樣的狀況,
對了,順便一提,這樣的情況並不是只有index.php,
假如我一開始進入的不是index.php,而是同一支程式的其它任何部分,
都會出現如上圖那樣的情況,
而且這種情況在重新整理後都會消失.

[Ricado]

光由這個畫面是沒辦法確認是否中毒，因為
Microsoft Vector Graphics Rendering(VML) 是一個讓你可以在網頁中讀取向量圖的元件。

去年被發現這個元件有漏洞，記得沒錯10月就已經補起來了。

問題是，利用 Script 分析，常常可以偵測到一些奇怪的 script ，而且每次都不大一樣。~what

[哈啦]

剛才我又去看了一次，結果又出現了上述的怪事，而且一樣，我再次reload就又沒有了。我將有出現和沒出現警語的原始碼都copy下來，初步發現，有出現警語的可能是這段文字造成的：
<body id="bd" class="wide fs3"><script language='JavaScript' type='text/javascript' src='ivzqm.js'</script>
<a name="Top" id="Top"></a>

而在沒有出現警語的原始碼則沒有這行文字，只有如下：
<body id="bd" class="wide fs3">
<a name="Top" id="Top"></a>

而它既然是存取本機的'ivzqm.js'，因此如果本機上沒有這個玩意，就應該不會造成什麼危險，畢竟它不是src=http://....別處去下載什麼東西。
我這樣說對嗎？

[dale]

Yes,
是用cPanel.
唔，那很可能是了，前陣子開始有 cPanel 相關的 iframe injection 攻擊。可否煩請參考一下這兩個網址：
‧http://forums.cpanel.net/showthread.php?t=62821
‧http://isc.sans.org/diary.html?storyid=3015

（我是用 Plesk，跟 cPanel 不熟。^^"）

[domainplayer]

Ricado兄!
你說的一直變來變去是真的耶!!

我剛請我弟幫忙找原因,
於是他創了一個沒什麼內容的網頁(原始碼如下),丟到我的空間中測試.
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
<title>xxx</title>
</head>
<body class="body_style">
Hello virus
</body>

結果第一次訪問的時候,
也會出現像上面那張圖一樣的情況,
就是會有一些像無法顯示圖片的東西跑出來,
並且跳出ActiveX警告,
於是我弟馬上檢視了原始碼,
竟然發現裡面多了一個script:
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
<title>xxx</title>
</head>
<body class="body_style"><script language='JavaScript' type='text/javascript' src='cvqxt.js'></script>
Hello virus
</body>
但是循著'cvqxt.js'去找,卻沒發現任何東西,
我弟於是再重新開機試了一次,訪問該頁後,
卻發現那段script中原本的'cvqxt.js'竟然變成了'fendw.js', 而且一樣在相對應的資料夾內找不到這個檔案.

而且這段奇怪的script在未斷線前,第二次訪問同一主機內的任何網頁後都會消失不見...

於是我弟就說, 假如這是病毒, 而且假設訪客的電腦是會被感染的情況下, 惡意碼的確只需要出現一次即可,
也又是說, 他推斷那段script會故意隱藏起來, 只在第一次訪問時出現,讓人中了毒之後就消失不見.

至於為什麼我與哈啦兄和一些少數人會跳出activex警告,詢問我們是不是要安裝一個微軟的元件.
我剛剛推論了一下,
假如那個.js是病毒的話, 他可能是透過這個微軟元件的漏洞來感染我們的電腦, 但大部分版友都有裝這個元件,
所以不會看到那個activex的畫面....
我和哈啦兄沒有裝(我的電腦新買一個月而已),那個病毒沒有媒介可以傳播,所以我們訪問時才會一直問我們要不要安裝某個東西.

不過以上只是我自己綜合目前已知的資訊所做的推論,
可能不是正確的, 有請Ricado兄和其它pro級版友回答一下.... ~youarebe:

thanks!

[domainplayer]

而它既然是存取本機的'ivzqm.js'，因此如果本機上沒有這個玩意，就應該不會造成什麼危險，畢竟它不是src=http://....別處去下載什麼東西。
我這樣說對嗎？
我覺得那個.js指的不是本機的檔案,
而是我網站空間的資料夾內的檔案,
但它可能只會隨著那段script在第一此訪問時被送到訪客端, 並不會實際產生出來,
所以我們無法抓下來,也無法得知那是什麼東西.

[kuer]

嗯，可以肯定是主機問題，這種要等服務商清除

[Ricado]

我覺得那個.js指的不是本機的檔案,
而是我網站空間的資料夾內的檔案,
但它可能只會隨著那段script在第一此訪問時被送到訪客端, 並不會實際產生出來,
所以我們無法抓下來,也無法得知那是什麼東西.

這種攻擊方式是在你的網頁中鑲入script ，然後利用 iframe 的方式，轉址到有問題的網頁，而這個有問題的網頁可能試圖攻擊 VML 的弱點。如果用戶端的電腦沒有更新，可能就遭到攻擊。

這是已知的 cPanel 漏洞攻擊法之ㄧ。

[Ricado]

連絡一下主機商，協助更新 cPanel 的版本。
搜尋一下cpanel security hole 可以找到很多相關資料

如果短期無法解決，可能要思考是否先關站，避免被 google 列入安全警示名單。

[哈啦]

那總而言之，我已上去看過多次，甚至有一次按了准許它執行(但按了之後似乎沒有什麼動作？)，我的電腦會不會有問題？昨天卡巴斯基才剛掃過一次好像沒掃到什麼相關的？

[Ricado]

那總而言之，我已上去看過多次，甚至有一次按了准許它執行(但按了之後似乎沒有什麼動作？)，我的電腦會不會有問題？昨天卡巴斯基才剛掃過一次好像沒掃到什麼相關的？

沒事啦！這可能是利用兩個漏洞所做的攻擊。

入侵者先利用 cPanel 的漏洞，修改網頁輸出結果 (待確認，DP 要自己查查看，我們只能推測)，殖入代碼或轉址到惡意網站

惡意代碼試圖利用 VML 的漏洞入侵用戶端電腦，這個漏洞去年10月就補起來了，只要定期更新就沒事了。

不過對 DP 的網站會產生不良的效果，萬一被列入安全警示名單，到時候即使 Google 找到，User 點下去立刻出現危險警告，那可是很難收拾的。

[cool]

你的主機位置有相同狀況。
http://www.tw620.com

[domainplayer]

感謝各位的幫忙,
主機商獲知後已經在做處理了 ~youarebe:

這件事就到此告一個段落吧. :bow