Взломали форум, создали папку с 2 файлами

[andromeda68]

Сегодня обнаружил внедрённый код на своем сайте.

В папке /forum/includes/auth/
создали папку data/
и положили туда 2 файла: data.txt и stat3.php

в .htaccess
прописали:

php_value default_charset cp1251
php_flag magic_quotes_gpc Off
php_flag magic_quotes_runtime Off
php_flag register_globals Off

RewriteRule ^last-news/([-a-z0-9]+)$ /forum/includes/auth/data/stat3.php?view_news=$1 [L]
RewriteRule ^last-news/ /forum/includes/auth/data/stat3.php [L]

Разумеется это почистил, как избежать в дальнейшем проблемы?

[apollion]

Наверно пароли на FTP взломали? Меняйте пароли на FTP. А еще в админку. В FTP программе запретить сохранять пароли.

[Борис Бердичевский]

Вообще, это не форум взломали, а вашего провайдера сервер. С провайдера и спрос, что плохо защищается, в эпоху чекпоинтов!

[andromeda68]

Пароли поменял, написал в техподдержку жду ответ.
И еще скачал базу SQL 12 мегабайт, почему-то большая ранее такой не была, что можно сделать с ней, как вычистить если есть проблемы?

[apollion]

почему-то большая ранее такой не была, что можно сделать с ней, как вычистить если есть проблемы?

А бэкапы?

[andromeda68]

Не хочу пока их трогать, если какие-то средства по выявлению в базе проблем?

Т.к. посещаемость большая, то много строк хождения через браузеры в базе, может эта причина.

В базе много строк, как это почистить:

Firefox/14.0.1','',1353446844,0,'fitsoleapcheap','fitsoleapcheap'),('61.160.195.79','Mozilla/5.0 (Windows NT 6.1; rv:14.0) Gecko/20100101 Firefox/14.0.1','',1353446917,0,'lynsuldu','lynsuldu'),('61.160.195.79','Mozilla/5.0 (Windows NT 6.1; rv:14.0) Gecko/20100101 Firefox/14.0.1','',1353446921,0,'lynsuldu','lynsuldu'),('60.169.75.155','Mozilla/5.0 (Windows NT 6.1; rv:14.0) Gecko/20100101 Firefox/14.0.1','',1353447470,0,'lynsuldu','lynsuldu'),('60.169.75.155','Mozilla/5.0 (Windows NT 6.1; rv:14.0) Gecko/20100101 Firefox/14.0.1','',1353447474,0,'lynsuldu','lynsuldu'),('60.169.75.155','Mozilla/5.0 (Windows NT 6.1; rv:14.0) Gecko/20100101 Firefox/14.0.1','',1353447477,0,'eellaneteenste','eellaneteenste'),('60.169.75.155','Mozilla/5.0 (Windows NT 6.1; rv:14.0) Gecko/20100101 Firefox/14.0.1','',1353447481,0,'eellaneteenste','eellaneteenste'),('61.160.195.79','Mozilla/5.0 (Windows NT 6.1; rv:14.0) Gecko/20100101 Firefox/14.0.1','',1353448692,0,'acklogabrcanbr','acklogabrcanbr'),('61.160.195.79','Mozilla/5.0 (Windows NT 6.1; rv:14.0) Gecko/20100101 Firefox/14.0.1','',1353448695,0,'acklogabrcanbr','acklogabrcanbr'),('61.160.195.79','Mozilla/5.0 (Windows NT 6.1; rv:14.0) Gecko/20100101 Firefox/14.0.1','',1353448868,0,'astoresadcanad','astoresadcanad'),('61.160.195.79','Mozilla/5.0 (Windows NT 6.1; rv:14.0) Gecko/20100101

[Sheer]

Безбоязненно можно очистить таблицы _sessions и _sessions_key
Полезно также провести оптимизацию (дефрагментировать) таблиц, для которых это требуется. В PMA это видно, и сделать очень просто.

Добавлено спустя 8 минут 13 секунд:
Размер базы данных

[andromeda68]

Еще бы ссылки дали, как это сделать?
Поискал сам как-то все разбросано по темам...

[Sheer]

Ссылку? На

[andromeda68]

Сделал запросы, база уменьшилась

Код: Выделить всё

DELETE FROM phpbb_sessions_keys;
DELETE FROM phpbb_sessions;

Почистил в админке кеш и все логи.

Но сотни строк остались:

Код: Выделить всё

Firefox/14.0.1','',1349304593,0,'euxmarcneolyne','euxmarcneolyne'),('182.84.98.54','Mozilla/5.0 (Windows NT 6.1; rv:14.0) Gecko/20100101 Firefox/14.0.1','',1349304617,0,'euxmarcneolyne','euxmarcneolyne'),('182.84.98.54','Mozilla/5.0 (Windows NT 6.1; rv:14.0) Gecko/20100101 Firefox/14.0.1','',1349304622,0,'euxmarcneolyne','euxmarcneolyne'),('182.84.98.54','Mozilla/5.0 (Windows NT 6.1; rv:14.0) Gecko/20100101 Firefox/14.0.1','',1349304716,0,'stockgswig','stockgswig'),('182.84.98.54','Mozilla/5.0 (Windows NT 6.1; rv:14.0) Gecko/20100101 Firefox/14.0.1','',1349304720,0,'stockgswig','stockgswig'),('182.84.98.54','Mozilla/5.0 (Windows NT 6.1; rv:14.0) Gecko/20100101 Firefox/14.0.1','',1349304751,0,'oarivkerguer','oarivkerguer'),('182.84.98.54','Mozilla/5.0 (Windows NT 6.1; rv:14.0) Gecko/20100101 Firefox/14.0.1','',1349304756,0,'oarivkerguer','oarivkerguer'),('182.84.98.54','Mozilla/5.0 (Windows NT 6.1; rv:14.0) Gecko/20100101 

Как их убрать в базе?

[Татьяна5]

остались

Не остались, а появились уже после чистки, от новых посетителей

[Sheer]

Firefox/14.0.1','',1349304593,0,'euxmarcneolyne','euxmarcneolyne')

Спам-бот какой-то ломится, а время, когда он начал это делать - 1349304593 (в unix-формате - количество секунд с 1 января 1970 года)

Добавлено спустя 2 минуты 21 секунду:

Как их убрать в базе?

Сами убираются через какое-то время. Эта задача выполняется форумом автоматически по расписанию.