Как найти брешь? - Безопасность сайтов на Joomla

Доброго вам времени суток!
Оговорюсь сразу, я не совсем новичок, но и от чайника не долек. Не судите строго.

Проблема в том, что на хосте, на всех сайтах появляются, во всех почти папках, два файла. Зараза мне совсем не нужна естественно. Нашел все, удалил, через некоторое время они опять там.

Как удалить все я знаю, но через какую дырку они пролазят не могу найти.

Может кто поможет?
 Вот что внутри файлов:
.htaccess

и  еще phpinfo.php

смотрите и анализируйте логи сайта и увидите дыру

А на днях что устанавливал на сайт? что то типа виджекит .
А рядом файл был - Joomla.php ?

А на днях что устанавливал на сайт? что то типа виджекит .
А рядом файл был - Joomla.php ?

да ничего в принципе. Галерею фоча, визуальный редактор (снес на всякий случай, не помогло), из модулей тоже ничего. Сайт простенький. Думается зараза в шаблоне, наити не могу.
Можно ли не снося шаблон найти?

ищите  шелл

что то все последние темы напоминают
"найдите за меня шел на моем сайте"

Можно ли не снося шаблон найти?

да можно, даже нужно, так принципе многие из всех и поступают, ни кто ни чего не "сносит"

что то все последние темы напоминают ...

А по мне так это похоже на "мы тут умные на столько что даже пальцем ткнут не станем" Не надо за меня искать, я сам найду. Ссылочку дайте на тему в форуме, где о моей проблеме речь. Я ведь не в курсе что мне искать.
И не надо мне говорить "кури поиск" и в этом роде. Когда знаешь чего искать, то не спрашиваешь а ищешь сам. Я так делаю, во всяком случае. Дайте наводку, все сам найду.

Поиском учимся пользоватся...
http://joomlaforum.ru/index.php/topic,246899.0/topicseen.html

что в папке ?  /tmp ahd /cache

что в папке ?  /tmp ahd /cache

Не совсем понимаю что там искать. Нашел в папке images/stories три файла

Не может же так все просто быть. Сюрпризы будут еще?

Версия Joomla?

Версия 1.5.26
Могу ли я просто почистить папки темп и кэш? Чем это чревато?

Версия 1.5.26
Могу ли я просто почистить папки темп и кэш? Чем это чревато?

можете

Когда знаешь чего искать, то не спрашиваешь а ищешь сам. Я так делаю, во всяком случае. Дайте наводку, все сам найду.

вы не уникальны, ни кто вам не говорит что умнее вас уж извините, не увидел в теме такого, а читать надо все конкретно ваш случай будет если вы его до мельчайших подробностей распишите сами, а все они аналогичные ну не видел ни чего нового, только названия файлов и код в них меняется, то что файлы могут быть где угодно рассованы по всему хосту, то уж извините и ни кто не сможет вам назвать эти папки и названия файлов, бывают случаи что доходит до 7-8 вариаций т.е. разные взломщики по сайту распихивают свои шелы, пока владелиц сайта спит и не задумывается об этом, а когда начинает искать то именно ищет что то готовое и по этим готовым решениям удалит один два файла и успокоится пока еще десяток взломов не появится
вот что из советов из многолетнего расскажу
первые взломы были очень давно 2006-2008 год совет был прост тогда на фронт вешалось кто сломал и заменялся индекс файл
-замените индекс и все у вас будет хорошо
и что все меняли из чего последовали первые массовые взломы 2010 года, файлы проникновения остались на хосте, а школьникам умная голова разжевала что и где лежит и эксплойт в руки дала

теперь конкретно по вашему случаю, вам дали совет ищите shell, а как вы это будете делать это ваше дело а искать его надо просматривая каждый файл, и код может быть разный в файлах

GIF89a1

был у меня такой шел, гифки/jpg переименовывал в php и выполнял зловредную команду.
просканируйте сайт AI-Bolit'ом и поудаляйте все шеллы иначе вам так и будут закачивать файлы, только дальше будет еще хуже, будут во все папки закачивать и яндекс/гугл забанят ваш сайт пока не почистите его от вирусов.

у меня AI-Bolit нашел очень много левых php файлов размером около 856 байт, было много jpg картинок в которых был внедрен вредоносный код.

так же поставьте jHackGuard и Marco's interceptor частично будут помогать и предотвращать инъекции в БД

Спасибо всем огромное! Проверил все айболитом, нашел много всего. Копаться особо не стал, удалил все к лешему. Пока все стабильно работает. Слетели правда визуальные редакторы, установил последнюю версию JCK. Будем посмотреть, что дальше будет.

Спасибо всем огромное! Проверил все айболитом, нашел много всего. Копаться особо не стал, удалил все к лешему. Пока все стабильно работает. Слетели правда визуальные редакторы, установил последнюю версию JCK. Будем посмотреть, что дальше будет.

как именно Вы удалили данную проблему.....потому что тоже обнаружил данный скрипт в файле .htaccess
Его вручную никак не могу удалить, он появляется обратно.

как именно Вы удалили данную проблему.....

Я просканировал с помощью ai-bolit все на своем хостинге (у меня три сайта на одном хосте, зараза была на всех трех). Нашел кучу файлов зараженных всякой гадостью, чем точно я не знаю, по этому просто все удалил. Не знаю правильно ли я сделал, но чистить внутри файлов мне не под силу, чайник я в этом. САМОЕ ГЛАВНОЕ СДЕЛАТЬ РЕЗЕРВНУЮ КОПИЮ ПЕРЕД УДАЛЕНИЕМ. Пока ничего не слетело кроме TinyMCE, поставил другой редактор. Теперь смотрю и наблюдаю.
Я понял что код в .htaccess заносит другая дрянь, которая лежит где-то в другом месте, пока не найдешь бесполезно править. Надо найти дырку в через которую они появляются.
Удачи в поисках!

Кстати не лишне будет сменить все пароли. FTP, базы, админка, все что есть на новые.

Кстати не лишне будет сменить все пароли. FTP, базы, админка, все что есть на новые.

пароли все сменил. Но как то все файлы удалять не хочется. А что с файлом .htaccess делали? тоже удалили??

У меня в нем кроме  зловредного кода ничего не было, по этому да, удалил. Дело в том, что у меня подобных файлов по всем папкам штук пятьсот распихано было. Да и mod_rewrite я не использую

Скачайте ai-bolit, на http://www.revisium.com/ai/,  скачайте и просканируйте сайт, он Вам покажет где что...

Кстати, пароли менять не стоит пока не найдете все шелы, без толку. Сначала чистить, потом менять все равно надо.

Что-то VirusTotal все равно ругается на Ваш сайт, значит не все нашли
https://www.virustotal.com/ru/url/469591719a4776fcb0c240b451a3b88cb6818d57947fd23d445752d82f6a9e8d/analysis/1380857614/

Что-то VirusTotal все равно ругается на Ваш сайт, значит не все нашли
https://www.virustotal.com/ru/url/469591719a4776fcb0c240b451a3b88cb6818d57947fd23d445752d82f6a9e8d/analysis/1380857614/

Спасибо за наводку. Я и не ожидал, что все так просто будет. Пока жду и наблюдаю, изучаю всевозможные мануалы, у меня это первый опыт поиска шеллов.
Хотя, честно говоря, никогда не доверял BitDefender. Он ведь единственный заругался, да и то не смог  загрузить содержимое, а не код нашел? Или я не прав?