redireccionamiento no autorizado de foro

Hola a todos, pues aqui me tienen con el siguiente problema, al parecer una de las paginas que administro fue hackeada y no se como solucionarlo... Les comento: Tengo montado un foro SMF en un subdominio, tambien tengo un sistema de tickets en otro subdominio y los dos presentan el mismo problema un redireccionamiento, el del foro me redirecciona hasta que envio los datos de usuario y contraseña... y el otro me redirecciona luego luego.

La pagina a la que me redirecciona es esta: h**p://*usak.biz/

Sustituyan los asteriscos por "T" lo pongo asi para no poner en juego la seguridad del foro...

Lo que he hecho:

He buscado en todos los archivos algo raro y solo en uno encontre una linea diferente que hacia referencia a esta pagina, la borre. Pero nada sigue igual.

Borre todo Subdominio, archivos, bases de datos y cargue uno de mis respaldos del 10 de septiembre, ese dia estaba seguro que funcionaba bien el sitio, dije entre mi "perdere algunos datos, pero no perdere todo..." Pues no, sigue haciendo lo mismo... lo que supongo es que hicieron alguna modificacion al apache o algo asi... ustedes que opinan? que recomiendan?

Saludos y mil gracias desde ahora!!!

 

Saludos,

Verifica lo siguiente:

1- fijate sin en directorio raiz hay un archivo .htaccess (normalmente es un archivo oculto) mira adentro a ver si esta alguna redirección

2- Contacta a tu proveedor, es posible que el atacante haya modificado los registros dns de tu dominio o el archivo de configuración de apache

Si me mandas el dominio podrá ayudarte más

 

Ok lo voy a ir checando, solo tengo acceso al cpanel como cliente

Estoy a punto de transferir este dominio a otro servidor porque este proveedor no me contesta ni nada, parece que ha muerto... ya llevo cerca de 2 meses que no responde y es ya el ultimo dominio que tengo atado con el porque no tengo el epp code. De hecho estoy tratando que enom me lo facilite, ya esta algo avanzado el asunto

La pagina es esta: clientes.abctrade.biz
la del foro es: ci.abctrade.biz pero esta solo la tengo abierta para usuarios registrados...

Saludos y mil gracias por tu pronta respuesta.

 

en la index te pusieron un iframe, quitalo, el iframe tiene el código

 

y por cierto, verifica los permisos de tu directorio/archivos si lo pusieron una vez, les será un juego de niños repetirlo

 

Ya lo busque y no encuentro ese codigo :-S

Por eso es mi suposicion que cuando se genera alguna peticion a apache este envia la cabecera del index con ese frame...

 

humm

Tu página index por defecto es index.php, es un clásico ataque iframe, el código malicioso puede estar bajo la forma de un javascript o directamente en la base de datos.

Puedes enviarme el código de la página? puede ser por privado si te sientes más cómodo

 

Listo Dateacenter1 te envie un mensaje con el codigo.

 

Busca en estos archivos:

QueryString.php
Subs.php
Errors.php
Load.php
Security.php

Busca también en cualquier archivo que tenga permisos 666 o superiores

Si borraste completamente el sitio y lo restauraste de backups, deberías hacer lo mismo con la base de datos, si el codigo fue introducido vía slq injection, no ayudará mucho solo restablecer los archivos.

 

Saludos,

Otro par de tips:

- Busca por la fecha de modificación/acceso quizas tengas suerte
- Baja el sitio completo a tu pc y busca una cadena en todas las páginas algo como <iframe
Hay programas que te ayudarán a automatizar la búsqueda de una cadena en el código de varias páginas (Dreamweaver lo hace)

 

Ok mil gracias Datacenter1.
ire checando todo a ver que pasa.