Hallo Forum
Seit einigen Wochen wird eine von mir betreute Website nicht mehr richtig dargestellt. Der Quellcode ist vollständig, aber im Frontend werden nur die linke und rechte Spalte angezeigt, der Inhalt der mittleren Spalte bleibt leer (ist im Quellcode auch am Schluss).
Nun habe ich herausgefunden, dass fast alle Links der Seite manipuliert wurden. Sobald z.B. ein Menupunkt angeklickt wird, wird der Link umgewandelt.
Statt
http://meineDomain.ch/index.php?id=117
heisst der Link:
http://meine Domain.ch/index.php?id=117&L=http%3A%2Fssba.ru
Die Links sehen auch nicht immer gleich aus. Es gibt auch folgende Varianten:
http://meineDomain.ch/index.php?id=117&L=http%3A%2Fvsechasi.ru%2Fbrend%2F30%2Fmale%2Fchristian-dior.html%3Faid%3D7595
oder
http://meineDomain.ch/index.php?id=153&L=http%3A%2Fwww.qualitas1988.com%2Fupload%2Finterswitchnigeria_com%2Fdovi%2Fduq%2Fanesesu%2F
Mein Provider vermutet, dass es sich hierbei um harmlose Bots handelt. Er empfiehlt mir, die Seite völlig neu aufzubauen oder aber Typo3 in einem neuen Verzeichnis zu installieren und die aktuelle Datenbank damit zu verlinken.
Kennt jemand dieses Phänomen? Weiss jemand, wie man diese Links wieder los wird?
Besten Dank für eure Hilfe.
Hallo.
Heißt "Quellcode ist vollständig", dass er so ist, wie Du ihn eigentlich haben möchtest? Ist da mehr drin als Dein Inhalt?
Ist ersterem Fall dürfte die Linkmanipulation via JavaScript erfolgen.
In zweitem Fall scheint sich jemand via PHP eingeklinkt zu haben. Hier lohnt sich ein Blick in die .htaccess, index.php, die localconf.php bzw. LocalConfiguration.php/AdditionalConfiguration.php sowie durch alle ext_*.php-Dateien in typo3conf/ext/
Was sich mir nicht ganz erschließt, ist der Sinn dieser Link-Manipulation... :-\
Ungeachtet der Herkunft kannst Du TYPO3 bereits reagieren lassen, wenn "komische" Werte für den Sprachrparameter (L) kommen, indem Du den Wertebereich festlegst: https://docs.typo3.org/m/typo3/reference-typoscript/main/en-us/TopLevelObjects/Config.html
Viele Grüße
Julian
Hallo Julian
Vielen Dank für deine Hilfe.
Mit "der Quellcode ist vollständig" habe ich gemeint, dass nichts fehlt. Aber eben, diese manipulierten Links sind auch noch drin.
In den erwähnten PHP-Dateien habe ich nichts Verdächtiges gesehen. Allerdings kenne ich mich da mit dem Code viel zu wenig aus.
Ich habe es mal mit dem Wertebereich für die Sprachparameter versucht und im Setup des Haupttemplates folgende Zeile ergänzt:
config.linkVars = L(0-2)
Im Moment sieht es gut aus, die Links sind weg. Ich hoffe, es bleibt dabei.
Nochmals besten Dank und freundliche Grüsse
mamo
Lad dir doch mal Arachni runter und mach mal einen Standart Penetration Test deiner Seite.
https://github.com/Arachni/
Du kannst mit einem normalen DSL Anschluss eine T3 Installation schnell in die Knie zwingen.
Abhängig vom Setup würde ich zunächst mit 5-10 Connections Starten.
Viele Grüße
IMHO sehr leichtsinnig nur den Parameter einzugrenzen, wenn man die Ursache für die Ausgabe nicht kennt. Hört sich erstmal nach einem Hack an. TYPO3 aktuell? Extensions gecheckt? Passwörter geändert? Am Besten auch gleich FTP abschalten und nur SFTP einsetzen.
Geddo schriebIMHO sehr leichtsinnig nur den Parameter einzugrenzen, wenn man die Ursache für die Ausgabe nicht kennt.
Da stimme ich Dir zu. Mit "Ungeachtet der Herkunft kannst Du TYPO3 bereits reagieren lassen," meinte ich für die Übergangszeit bis die Ursache wirklich gefunden und behoben ist.
Nicht immer stehen genügend Resourcen und technische Möglichkeiten zur Verfügung, um schnell eine saubere Version online zu bekommen und dann in Ruhe im kompromittierten System die Ursache zu suchen.