Forobeta fuera del aire y yo que entro en pánico!

XYZ · 3 Ene 2012

Bloqueando Enlace eliminado Enlace eliminado y Enlace eliminado debería funcionar algo mejor la carga del foro, ya que pusieron etiquetas las cuales aumentarán el flujo de visitantes y con ello se hace más lento el servidor.
Mientras encuentras el código que insertaron y también habrá que ver por donde lo insertaron.

Tony · 3 Ene 2012

Julcar dijo:
Carlos, tienes el reporte de Ips que ingresaron desde el momento del ataque?

se que puede ser inaudito, pero si se encuentra un patron (como por ejemplo pais mas recurrente entre las ips) se puede dar con algun indicio (ya parezco de CSI)

Toma tu patrón:
* whos.amung.us - dashboard » atk1m0u397bn

Países en español únicamente, mayormente américa latina (alguien quiere apostar a que no fue desde T!?)

Seba dijo:
Bloqueando Enlace eliminado Enlace eliminado y Enlace eliminado debería funcionar algo mejor la carga del foro, ya que pusieron etiquetas las cuales aumentarán el flujo de visitantes y con ello se hace más lento el servidor.
Mientras encuentras el código que insertaron y también habrá que ver por donde lo insertaron.

No insertaron anda en el server, todo lo esta haciendo el flash que puso. Y efectivamente lo que se quiere encontrar es EN DONDE se publicó el .SWF

Mautematico · 3 Ene 2012

Yo no tuve problemas en todo el día para entrar.
También me viene a la mente Taringa

SrAguilera · 3 Ene 2012

A mí ya me va rápido 😀

XYZ · 3 Ene 2012

No insertaron anda en el server, todo lo esta haciendo el flash que puso. Y efectivamente lo que se quiere encontrar es EN DONDE se publicó el .SWF

Me refiero a saber donde postearon el .swf y la solución sería que no se pueda poner iframe ni archivos .swf dentro del foro.

Tony · 3 Ene 2012

Seba dijo:
Me refiero a saber donde postearon el .swf y la solución sería que no se pueda poner iframe ni archivos .swf dentro del foro.

Dentro del foro no hay nada, el ataque no se hace desde aquí. Todo es desde afuera, es como si tu pones en tu blog el archivo .swf y tienes muchas visitas (con eso ya estás atacando forobeta).

dendurweb · 3 Ene 2012

Recién siento que me va mejorando la carga, antes no podía entrar.

lennuc · 3 Ene 2012

Por fin pude entrar y yo jodiendo hoy a la tarde a otro usuario que había hackeado el foro por eso no cargaba 😕 espero que se pueda saber como metieron eso...

Mautematico · 3 Ene 2012

Seba dijo:
Me refiero a saber donde postearon el .swf y la solución sería que no se pueda poner iframe ni archivos .swf dentro del foro.

No, es que no tuvieron que postearlo acá. Con ponerlo en otra web bastaría. Por eso es dificil encontrarlo.

Julcar · 3 Ene 2012

la solucion de seba tiene logica, si piden esas direcciones simplemente bloquearlas y redirigirlas a otro lado

XYZ · 3 Ene 2012

Tony dijo:
Dentro del foro no hay nada, el ataque no se hace desde aquí. Todo es desde afuera, es como si tu pones en tu blog el archivo .swf y tienes muchas visitas (con eso ya estás atacando forobeta).

El foro ahora funciona bien ya que Carlos bloqueo las secciones de adsense, blogger y social media mediante .htaccess

Ya que esas 3 secciones eran las que estaban atacadas.

Julcar · 3 Ene 2012

Tony dijo:
Toma tu patrón:
* whos.amung.us - dashboard » atk1m0u397bn

Países en español únicamente, mayormente américa latina (alguien quiere apostar a que no fue desde T!?)

No insertaron anda en el server, todo lo esta haciendo el flash que puso. Y efectivamente lo que se quiere encontrar es EN DONDE se publicó el .SWF

hay algo que no me cuadra, en el enlace de aumung.us aparece esto:

Enlace eliminado

Tony · 3 Ene 2012

Seba dijo:
El foro ahora funciona bien ya que Carlos bloqueo las secciones de adsense, blogger y social media mediante .htaccess

Ya que esas 3 secciones eran las que estaban atacadas.

No es eso, entendiste mal.

y @cank si, en Taringa si se pueden meter .swf XD

Julcar dijo:
hay algo que no me cuadra, en el enlace de aumung.us aparece esto:

Enlace eliminado

Hasta hace unos momentos existía, lo han eliminado. Creo que ese era el contador real de la página de "fawama".

scabrera · 3 Ene 2012

Si hacés una búsqueda en la base de datos deberías encontrar quién y donde lo posteó. Para bloquearlo bastaría con no permitir archivos .swf, supongo que los iframes ya están bloqueados.

Mautematico · 3 Ene 2012

También me di cuenta de eso en aumung.us.
Más bien me parece que atacaron a "fawama", miren, ahí mismo, donde estaba ese fichero enlazado está este otro:
Enlace eliminado

Entonces, creo que el atacante que se busca no va por ahi.

Tony dijo:
No es eso, entendiste mal.

y @cank si, en Taringa si se pueden meter .swf XD

Hasta hace unos momentos existía, lo han eliminado. Creo que ese era el contador real de la página de "fawama".

Tony · 3 Ene 2012

Mautematico dijo:
También me di cuenta de eso en aumung.us.
Más bien me parece que atacaron a "fawama", miren, ahí mismo, donde estaba ese fichero enlazado está este otro:
Enlace eliminado

Entonces, creo que el atacante que se busca no va por ahi.

Pues de hecho también pudo ser un chivo expiatorio, eso si la verdad ni idea. Pero del objetivo directo no hay duda, fue ForoBeta ya que el .swf va dirigido a 3 secciones del foro particularmente.

lennuc · 3 Ene 2012

Colocando "2d69c8ff8d847805bbe648c7b985460e.php" aparecen muchos archivos en distintos lugares, no se si esto ayude en algo 😛7:

Jose Canul · 3 Ene 2012

ami ya me carga perfectamente ! 😀

Tony · 3 Ene 2012

lennuc dijo:
Colocando "2d69c8ff8d847805bbe648c7b985460e.php" aparecen muchos archivos en distintos lugares, no se si esto ayude en algo 😛7:

Al parecer el nombre del archivo esta codificado con MD5 de php, (una cadena encriptada de 32 digitos), no se si dos mensajes puedan dar una misma cadena (aunque creo que si). Debe ser la fecha de cache (digamos 3-enero-2011 encriptado) con algun plugin o algo así ya que si se fijan es un wordpress.

Desconozco si tienen relación los otros archivos que mencionas lennuc, será cuestión de investigar 😀

Julcar · 3 Ene 2012

Enlace eliminado redirecciona a un blog desaparecido xD

al parecer fawama se dio cuenta y esta eliminando cache a lo loco

Forobeta fuera del aire y yo que entro en pánico!

XYZ

Tony

Mautematico

SrAguilera

XYZ

Tony

dendurweb

lennuc

Mautematico

Julcar

XYZ

Julcar

Tony

scabrera

Mautematico

Tony

lennuc

Jose Canul

Tony

Julcar

Temas similares