Wiedermal Angriffe

[nicnero]

Hallo
Heute habe ich wieder 5 Versuche gehabt von Hackern an meine Datenbank zu kommen. Sie scheinen wieder sehr aktiv zu sein. Vom Kollegen 3 Seiten gehackt. Ist aber xt:Commerce. Eine Seite hat auch noch eine Macke. ich weiß aber nicht wo ich da ansetzen soll. Bei Suche über Google nach der Seite springt beim ersten Aufruf der Virenscanner an. Klick man den weg und versucht es erneut geht es. Komisch ich weiß da nicht wo ich ansetzen soll. Vielleicht habt Ihr eine Idee?
gruß Nico



Linkback: https://www.modified-shop.org/forum/index.php?topic=13139.0

[Tomcraft]

Bist du mal so lieb und gibst uns einen Link zu deinem Shop?

Woher nimmst du die Annahme, dass versucht wird an deine Datenbank zu kommen? Schaust du da unter "Hilfsprogramme" -> "Wer ist Online"? Da sieht man häufiger die vergeblichen versuche von Bots.
Die grasen willkürlich das Internet ab auf der Suche nach bekannten Schwachstellen.

Grüße

Torsten

[nicnero]

Hallo Torsten,
das war aber kein Bot, denke ich zumindest. Es wurde versucht ein phpMyAdmin Programm zu finden und die Setup Datei zu starten. Ist ja zum Glück im FTP abgesichert mit den Zugriffsrechten. Vielleicht sind es bloss Bots aber es war das erste mal das ich es gesehen habe. Bei "Wer ist Online".
Gib mal bitte bei Google "Glamour Fashion World" ein. Die Seite www.glamour-fashion-world.de ist meine. Und auch bei der www.youngstyle-4-you.de/blog  kommt auch die Meldung. Ist auch eine von mir.
Gruß Nico

[Tomcraft]

Doch... das ist der Klassiker schlechthin! Es wird nach offenen phpMyAdmin Installationen gesucht! Das Thema hatten wir hier im Forum schon sehr oft.

Ich bin mit Mac OS X unterwegs und habe keinen Echtzeit-Scanner laufen, da werde ich keine Virenmeldung erhalten.

Grüße

Torsten

[Matt]

[...]
das war aber kein Bot, denke ich zumindest. Es wurde versucht ein phpMyAdmin Programm zu finden und die Setup Datei zu starten. Ist ja zum Glück im FTP abgesichert mit den Zugriffsrechten. [...]

phpMyAdmin sollte immer auch noch mal mit ".htaccess" abgesichert sein, denn sicher ist sicher und pma auch nicht fehlerfrei.

[...]
Gib mal bitte bei Google "Glamour Fashion World" ein. Die Seite www.glamour-fashion-world.de ist meine. Und auch bei der www.youngstyle-4-you.de/blog  kommt auch die Meldung. Ist auch eine von mir.
[...]

Welche Meldung?

[nicnero]

Hier mal ein Screenshot.
Ich hoffe man kann es sehen. Morgen mach ich mal beim Firefox 'nen ordentlichen Screenshot.

[luckybaron]

Na, vergessen den Screenshot anzuhängen??

[nicnero]

Hallo
Nun weiß ich auch nicht mehr weiter. Bei manchen geht es bei manchen nicht.
Habe gerade nochmal mit meinen Kollegen telefoniert.
Wir haben Google aufgerufen und als Suchbegriff Glamour Fashion World eingegeben.
Als Resultat haben wir die Seite www.youngstyle-4-you.de/blog aufgerufen. Dann erscheint ein Fenster welches besagt:

möchten Sie das Binary File>>>Link entfernt<<<downloaden.

Nach abklicken, also ablehnen des Downloads und nochmaliges aufrufen der selben Seite kommt diese Meldung nicht mehr. Nun weiß ich gar nix mehr. Normal müsste die doch ständig kommen. Vielleicht könnt ihr es mal testen bitte.
Gruß Nico

[EDIT Tomcraft 24.05.2011: Link zum Schutz der Forenbenutzer entfernt!]

[Tomcraft]

Na, vergessen den Screenshot anzuhängen??

Er hat eine HTML Datei hochladen wollen:

[denied extension] Gemeldete_unsichere_Website_Navigation_wurde_geblockt.htm (8.5 KB) 59 Minuten old [84.133.120.148]

Grüße

Torsten

[luckybaron]

Gut dann hänge ich einen an.  
Also ich habe bei Google auch mal nach Glamour Fashion World gesucht, habe dann den ersten Link zu http://www.glamour-fashion-world.de angeklickt und das Ergebnis ist als Anhang zu sehen.
Doch wenn ich jetzt die Seite nochmal aufrufe geht es.  

  [ Für Gäste sind keine Dateianhänge sichtbar ]

[nicnero]

Ja genau luckybaron,
das ist die Meldung, die ich meinte. Das eigenartige ist, dass Sie nur einmal kommt und jeder Kunde klickt da nicht nochmal darauf.
Das Problem ist nun woran liegt es. Oder muss ich den Shop neu aufsetzen. Das will ich aber vermeiden wenn möglich.  

[luckybaron]

Such doch mal in deinen Dateien nach dieser merkwürdigen Adresse.
Eventuell ist da was zu finden.

[nicnero]

Hallo welches Programm würdest du empfehlen. Ich glaube grepWin ist da nicht das richtige, oder?
Weil damit hat er nix gefunden.
 

[Tomcraft]

Doch, das ist genau das richtige Programm dafür!

Suche mal nach "base64" und "decode", das hatten wir neulich erst, siehe: xt:Commerce: Zahlungsarten ständig "von alleine" deaktiviert

Grüße

Torsten

[nicnero]

Bingo Torsten,
damit hat er einige Dateien gefunden. Mit beiden Suchwörtern.
Und nun?
MfG