19705回お恥ずかしい話ですが、クラックされました。参考にもならない話かもしれませんが、一応ご報告させていただきます。チェックするべき点や今後気を付けるところなどアドバイスありましたら、是非お願いいたします。JPで運営しているところで、スタートモジュールにしてあるnewsモジュールのindex.phpの中にecho文を仕込まれ、トップページの冒頭にaタグを埋め込まれました。その結果、スタートモジュールのページのどこかをクリックするとsitegrep.netに飛ばされるという状態になりました。ndex.php"という怪しい名前のファイルが作られていて、中身はNobodyCoderの自己PRでした。ディレクトリやファイルの書き込み権限で危険な状態のファイルはないと思います。Protectorモジュールも入れてあり、ログを見ると、改ざんが行われたと思われる期間にDoSがかけられていました。WWWのログでは、疑わしい時間帯にnewsモジュールのsubmitが呼び出されていましたが、これが改ざんと関係あるのかはわかりません。対応としては、ルートの怪しいファイル削除、問題のecho文の除去を行いました。何か他にもチェックすべきことはありますか。JPで運営しているところで、スタートモジュールにしてあるnewsモジュールのindex.phpの中にecho文を仕込まれ、トップページの冒頭にaタグを埋め込まれました。その結果、スタートモジュールのページのどこかをクリックするとsitegrep.netに飛ばされるという状態になりました。ndex.php"という怪しい名前のファイルが作られていて、中身はNobodyCoderの自己PRでした。́Д`)サーバの中に入れない状態で今回の状況を実現しようとしたら、modules/news/index.phpを狙い打ちで自動書き換えするスクリプトを作成し、それをアップローダ系モジュールを通してUPしたうえで呼び出して発動させる、などのような手順が用いられるのではないかと思われますがご発言を拝見する限り、それに相当するような[スクリプトファイル]は特にないようですし。いうわけで、おいらならまずは自分のマシンと、それが所属しているネットワーク内の各マシンについてウィルス/ワームのチェックをされるとともに、ネット環境のセキュリティ点検と確認をします。ついでに、xoops側の管理者権限アカウントについても、パスワード変更しておきたくなるかもです。10:31ガンブラーですね。indexと名のつくファイル、JSファイルをだいたい3階層めくらいまで追ってきて、改ざんします。他のCMSでやられちゃった★ことがあるんですが、やっぱりFTPのログを見ると中国からFTPアクセスされてた、なんてことになってました★★。ログが確認できるなら見てみるとわかると思いますよ。感染しているパソコンからFTPアクセスするときに情報が漏れます。IDを使っている人、あるいは自身のパソコンを調べて感染していないかとか調べるといいんじゃないでしょうか?XOOPSを乗り越えてくるのは相当難しいんじゃないでしょうか。#20552引用:ガンブラーですね。indexと名のつくファイル、JSファイルをだいたい3階層めくらいまで追ってきて、改ざんします。ガンブラーだと、ご指摘の通り、多階層に渡ってのindex.○○○ファイルと、JavaScriptファイルが改ざんされますよね。#20554引用:まぁどっちにしろ、FTPのアカウント名+パスが盗まれたってことには違いはないですが(^^;脆弱性があればcgiでapacheがユーザ権限で動いていれば、ファイルの書き換えは普通に出来るので、そうとも限らないかと。管理権限乗っ取ってカスタムブロックからでも書き換えは可能です。template_cに不正なファイルアップされてスパムの踏み台にされてたり、いろいろ改ざんされてたりのX2サイトを最近よく見る気がする。どのサイトも変なモジュールもなく、プロテクターも入っているサイトでした。Smartyの脆弱性でも突かれたんじゃないかと思いますが、今更X2なんで詳しく調べてません。メンテされてないX2を使い続けてれば、しょうがないんじゃないかなぁSmartyがどれだけアップデートされてるかCHANGELOG見ればわかるかと。XOOPS2.0.16aのモジュールもXSSかなんかがあった覚えがあるけど。#20558なるほど浅はかでちた。やってtemplate_cとかのっとったりするんですか?(←答えちゃ危険!)引用:Smartyの脆弱性でも突かれたんじゃないかと思いますが、今更X2なんで詳しく調べてません。いうのって、smartyがアップデートされたときにはやっぱりアップデートが必要なんですっか??★ディストリビューションの中にあるsmartyに上書き!っていう感じで更新できるのかなあ。不具合が出る、かも、っていうのは前提なんでしょうけど。個人的にはメンテが停止された段階で、自分でメンテ出来ない場合はXOOPS2.0.16a自体使わないように、XCLやJPExにアップグレードするべきだと思います。#XCLも古いSmartyだったりしますけど。引用:ディストリビューションの中にあるsmartyに上書き!っていう感じで更新できるのかなあ。不具合が出る、かも、っていうのは前提なんでしょうけど。基本的にはこれだけ他にXOOPS_ROOT_PATH/class/smarty/pluginsに追加したファイルがあればresource.db.phpと同様にコピーするXOOPS(XCL含む)では、Smarty.class.phpにパッチをあててinternalsではなくcoreを読み込んでいるので、coreに追加したファイルがある場合は、XOOPS_ROOT_PATH/class/smarty/coreからinternalsにコピーするX2もXCLもこんな感じでほとんどの場合大丈夫だと思います。#20560皆様いろいろな情報およびアドバイスありがとうございました。XOOPSを最新版にアップデートしなければと思いつつ、先延ばしにしていた罰があたったと反省しております。頂いたポインタを手がかりに自分なりに調べてできる限りの対応と、何よりLegacyの最新版への移行を急ぎたいと思います。今後もよろしくお願いいたします。#20560セキュリティー上はアップデートが必要ってわけですねーsmartyもチェックしないとダメなのかー、けっこう大変だあ。基本的にはこれだけ他にXOOPS_ROOT_PATH/class/smarty/pluginsに追加したファイルがあればresource.db.phpと同様にコピーするXOOPS(XCL含む)では、Smarty.class.phpにパッチをあててinternalsではなくcoreを読み込んでいるので、coreに追加したファイルがある場合は、XOOPS_ROOT_PATH/class/smarty/coreからinternalsにコピーするSmarty-2.6.26/libs/pluginsにXOOPS_ROOT_PATH/class/smarty/plugins/*.xoops_*.phpもコピーする必要があります。