ABAKUS

alles mögliche,
ich habe die auch laufend in den logs, ist glaube ich ein infizierter Browser von jemanden der einer der Tools von denen heruntergeladen hat.
zumindest laut hier (englisch)
https://www.pestpatrol.com/PestInfo/f/f ... oducts.asp

ok danke

Sorry, dass ich diesen alten Thread wieder raushole ...

Irgendjemand hat heute um 10:23 bei mir alle Dateien aus Ordnern vom Webspace gelöscht, bei denen CHMOD 777 eingestellt war. Es handelt sich dabei um Upload-Order (z.B. für ein Photoalbum, Avatare), in die meine Forenmitglieder Bilder hochladen können.

Hier mal ein Auszug aus meinem Access Log:
https://home.arcor.de/immun/Peggy/log_1005.txt
Da fällt mir ein User/Bot auf, der anscheinend über das Gästebuch auf meine Seite kommt. Als Browser steht da "FunWebProducts".

Ich bin nun ratlos, was ich machen soll. Habe erstmal die Rechte eingeschränkt, aber nun können meine Mitglieder keine Bilder mehr hochladen, was ich sehr schade finde. Kann mir jemand erklären, was da vor sich geht und was ich unternehmen kann?

Achja, bei mir ist ein phpBB, aktuellste Version installiert. Es sind auch nur "sichere" Modifikationen verbaut.

deny from 85.107.0.0/17

Ein IP-Block der TurkTelecom! Erwartest du Besuch aus der Türkei? Jemanden, der dir seinen eigenen, russischsprachigen PHP-Code per Code-Injection unterschieben will? (Wurde c99shell.php injiziert und deine Dateien per Shell gelöscht?!)

Nach meinen Recherchen werden "FunWebProducts"-UAs gerne von Bots benutzt. Die Botersteller kopierten ihren eigenen verseuchten Browser-UA in ihre "Software".

Vernünftige Internetbenutzer dürften das FWP-Zeug nicht installiert haben, doch sollte es jemand auf seinem Rechner laufen lassen, stellt er eine Gefahr für deine Dateien dar.

Der Hersteller beteuert, seine Software sei ganz brav und harmlos. Wen oder was du aussperrst, bleibt (noch?) dir überlassen.

Habe meinen gesamten Webspace nach der Datei c99shell.php durchsuchen lassen, nicht drauf.

Nein, eigentlich erwarte ich keinen Besuch aus der Türkei.

---
edit:
Aha, anscheinend jmd./ein Bot die Datei /admin/addentry.php aufgerufen und dort über den Bild-Upload Schadcode eingeschleust. Mist, ich dachte ich hätte diese Datei längst gelöscht. Ich hatte sie nämlich kopiert und umbenannt, weil ständig Bots über Google nach dieser Datei suchten und mein Gästebuch mit Werbung zumüllten. Naja, nun ist die Datei gelöscht.