Откуда попал вирус - страница 2 - Безопасность сайтов на Joomla

Прочитал на серче совет про отплючение функций php:

Кто что думает?

Думаю что чукча не читатель, чукча писатель ⓒ анекдот

После отката на 2 дня назад сайт поднялся.

Что в вашем понимании откат? Это вы просто восстановили поверх резервную копию или предварительно удалили все файлы. Даже в этом можно проколоться)

Что в вашем понимании откат? Это вы просто восстановили поверх резервную копию или предварительно удалили все файлы. Даже в этом можно проколоться)

Удалил все файлы и поднял сайт из бэкапа.
Заменил все пароли.
Поставил два патча.
Немного изменил права на папки и файлы.
Проверил сайт Айболитом и удалил найденный левый код.

А админку защитили?
Смена прав без отключения функций типо chmod - как мертвому припарка.

Удалил все файлы и поднял сайт из бэкапа.
Заменил все пароли.
Поставил два патча.
Немного изменил права на папки и файлы.
Проверил сайт Айболитом и удалил найденный левый код.

flyingspook вам выше написал, что нужно делать в данном случае. Но вы не слушаете... Сейчас вы сыграли в русскую рулетку - залили из бекапа - вдруг прокатит... Ну, будем надеяться, что прокатит. Хотя обычно если даже Айболит что то нашел в файлах (хорошо, если это не ложные срабатывания и вы не сломали сайт окончательно), то там еще много чего из того, что Айболит не видит.

Касательно отключений функций - не забивайте голову этим. У вас должен быть доступ к конфигурационным файлам, шаред такой доступ обычно не дает. Это во первых. А во вторых отключение функций - часть большой работы по комплексной настройке безопасности сервера, а для этого нужны определенные знания.

А админку защитили?

я создал файл с паролем на уровень выше чз htpasswd утилиту
а в папке создал файл htaccess который требует пароль для доступа

но все это не помогло) опять в корень залили шелы.
на половина сайтов.

наверное надо проверять компоненты скаченные на дыры.

Сайты же на одном аккаунте наверное. Достаточно один взломать и зальют на все.
Начать стоит с чистки и установки актуальной версии Joomla и компонентов с официальных сайтов.

Как вариант в коммерческий раздел. Если конечно не поднимите версию php и не разделите сайты по юзерам для лечения. Ну и дыры найти надо.

но все это не помогло) опять в корень залили шелы.

Еще раз прошу обратить внимание на мой пост выше. Ваши потуги по восстановлению сайтов и установке паролей тщетны, так как в них сидят шеллы - специальные скрипты, дающие возможность полного контроля над сайтом. И пока вы их не удалите, нет смысла ставить доп. защиту и удалять какие то файлики, которые то и дело появляются. Это раз. А два - как сказали  ChaosHead и wishlight, пока у вас не настроены права на разделение папок сайтов, при взломе одного есть большая вероятность заражения остальных. Выбирайте хостинг с изоляцией корневых каталогов или работающий на CloudLinux.

Я все сайты скачивал на компьютер и проверял антивирусами и айболитом.
Левый код вычистил.

Данные настройки актуальны для текущей версии Joomla?
Кто-то использует у себя?

# Блокируем любой скрипт пытающийся получить значение mosConfig через URL
RewriteCond %{QUERY_STRING} mosConfig_[a-zA-Z_]{1,21}(=|%3D) [OR]
# Блокируем любой скрипт пытающийся отправить любое дерьмо чере base64_encode по URL
RewriteCond %{QUERY_STRING} base64_encode.*(.*) [OR]
# Блокируем любой скрипт который содержит тег < script> в URL
RewriteCond %{QUERY_STRING} (<|%3C).*script.*(>|%3E) [NC,OR]
# Блокируем любой скрипт, который пытается установить глобальную переменную PHP через URL
RewriteCond %{QUERY_STRING} GLOBALS(=|[|%[0-9A-Z]{0,2}) [OR]
# Блокируем любой скрипт пытающийся изменить _REQUEST переменную через URL
RewriteCond %{QUERY_STRING} _REQUEST(=|[|%[0-9A-Z]{0,2}) [OR]
# Блокируем любой скрипт, который пытается установить CONFIG_EXT (баг в com_extcal2)
RewriteCond %{QUERY_STRING} CONFIG_EXT([|%20|%5B).*= [NC,OR]
# Блокируем любой скрипт, который пытается установить sbp or sb_authorname чере URL (баг simpleboard)
RewriteCond %{QUERY_STRING} sbp(=|%20|%3D) [OR]
RewriteCond %{QUERY_STRING} sb_authorname(=|%20|%3D)
# Отправляем все заблокированный запросы на главную с ошибкой 403 Forbidden!
RewriteRule ^(.*)$ index.php [F,L]

Думаю что чукча не читатель, чукча писатель ⓒ анекдот

и добавить нечего

угу хоть кол на голове чеши...
как я найду эти шелы (дающие полный контроль над сайтом), если их даже АйБолит не нашел.

Анализ кода
Логи
Трассировки
Захват пост запросов
Контроль изменения файлов.

как я найду эти шелы (дающие полный контроль над сайтом), если их даже АйБолит не нашел.

flyingspook вам выше написал, что нужно делать в данном случае. Но вы не слушаете...

угу хоть кол на голове чеши...

Добавить нечего....

Еще раз по существу - если вам дороги ваши сайты и вы хотите видеть их стабильную работу, вам нужно учиться управлять ими, учиться хотя бы основам безопасности или же нанимать человека, который будет все это делать. Если вы не в состоянии решить проблему - обращайтесь к тем, кто это может сделать. В частности, такие вопросы решаются в коммерческом разделе.

Для того, что бы иметь возможность обнаружить и удалить шелл, нужно понимать, как происходит его заливка на сайт и как он, собственно, может выглядеть. А для этого нужно хорошо знать PHP и понимать, что именно может представлять опасность. У вас этих знаний нет. На сайты ставилось все, что удавалось найти в интернете, скачанное из сомнительных источников и т.д. В большинстве случаев вредонос уже был в ваших расширениях, которые вы ставили.

Это как заниматься сексом с незнакомыми девчонками -  не знаешь, от какой заразы потом придется лечиться...

P.S. Я в настоящий момент занимаюсь разработкой системы безопасности для сайтов. Одним из компонентов этой системы является самообучающийся скрипт, контролирующий запуск файлов. К примеру, если весь контент сайта отдается через index.php, то обращение к каким либо другим файлам приведет к появлению ошибки. То есть, даже если вам залили шелл, он не будет работать. Можете написать мне на почту, дам вам этот код, если жаль денег на нормальный аудит и лечение сайтов. При условии, что самостоятельно его сможете настроить.

Это как заниматься сексом с незнакомыми девчонками -  не знаешь, от какой заразы потом придется лечиться...

Да и со знакомыми бывает не безопасно

Да и со знакомыми бывает не безопасно

И это, к сожалению, тоже верно. Поэтому мораль: доверяй, но проверяй!

1) Если я поставлю на файлы компонентов и модулей права 444 (только чтение) я защищу их от вставки в них вредоносного кода?
2) Можно сделать в каталогах .htaccess, чтобы в них не могли ничего загружать левого?

Подкину вам ещё безумных идей:
- Держать сайты дома на компьютере, конвертировать их в HTML и заливать на хостинг. На хостинге запретить выполнение скриптов. Сайты будут супер-быстрые и никаких взломов.
- Сделать по крону удаление файлов и откат сайтов каждые сутки. Взломщикам надоест заливать шелы по новой каждый день и они откажутся от этой затеи.
- Посмотреть с каких IP подключаются взломщики и банить их. Однажды они устанут менять прокси и добавят ваши сайты в свой черный список.
- Если крадут пароли от хостинга, заразив ваш пк вирусом, то каждый день нужно подсовывать им ложные пароли от ложных хостингов. Они будут отвлекаться на постоянные проверки и нервничать. Однажды подсунуть им якобы пароль от пентагона или сайта белого дома. Там их и вычислят при попытке взлома. Атаки на ваши сайты прекратятся.

Однажды подсунуть им якобы пароль от пентагона или сайта белого дома. Там их и вычислят при попытке взлома. Атаки на ваши сайты прекратятся.

А это идея! Предлагаю такой вариант: закрыть доступ к админке, как это делает, например, JSequre, но, если ключ указан неверно или не указан вообще, редиректить на админки правительственных сайтов. У них возможностей то побольше...

Добрый вечер закрытие доступа в админку сайта это не вариант.
Блокировку ставить лучше на уровне IP так же рекомендую тщательно проверить сайт на сторонний код.
Шаблоны CSS JS так же картинки. Последнее время внедрение вирусов и шелов закручивают через модули плагины так же картинки.

Просто пример нам нужен плагин определенной версии и с определенными репазиториями по факту поддержка данного плагина закончилась и на офф сайте его не всегда удается найти начинаем искать сторонние сайты и здесь уже могут быть шелы.

ТАк же при использование бесплатных шаблонов шаблоны рекомендую тоже изучать досконально часто они вшивают дыры в фаемворк или создают шел в кэше так же всегда после установки чистите папку tmp.

В обшем проблем и причин может быть миллиони [удалено модератором]

stopvirusby, есть что сказать - пишите в теме. Это не коммерческий раздел.

Подкину вам ещё безумных идей:
- Держать сайты дома на компьютере, конвертировать их в HTML и заливать на хостинг. На хостинге запретить выполнение скриптов. Сайты будут супер-быстрые и никаких взломов.
- Сделать по крону удаление файлов и откат сайтов каждые сутки. Взломщикам надоест заливать шелы по новой каждый день и они откажутся от этой затеи.
- Посмотреть с каких IP подключаются взломщики и банить их. Однажды они устанут менять прокси и добавят ваши сайты в свой черный список.
- Если крадут пароли от хостинга, заразив ваш пк вирусом, то каждый день нужно подсовывать им ложные пароли от ложных хостингов. Они будут отвлекаться на постоянные проверки и нервничать. Однажды подсунуть им якобы пароль от пентагона или сайта белого дома. Там их и вычислят при попытке взлома. Атаки на ваши сайты прекратятся.

Насмешили конечно =) Для статики есть Jekyll, Hugo...

Ответьте все же - 555 на папки и 444 на файлы. Поможет делу?

Почитайте выше ответ был.
Зависит от настроек сервера.

Ответьте все же - 555 на папки и 444 на файлы. Поможет делу?

Вы привели домой проститутку. Скажите, как ее лучше драть, что бы сифилис не подхватить, в позе сверху, снизу или сбоку?
Простите за каламбур, но я перефразировал ваш вопрос.

Правильное выставление прав да, нужно, но если в сайте дыра, то смысл городить права? Нужно затыкать дыру. И именно это вам пытаются объяснить. Пролезть на сайт можно очень многими способами.

А это идея! Предлагаю такой вариант: закрыть доступ к админке, как это делает, например, JSequre, но, если ключ указан неверно или не указан вообще, редиректить на админки правительственных сайтов. У них возможностей то побольше...

да слать на сайт кремля, он все равно дырявый, и вроде на нашей платформе 

Насмешили конечно =) Для статики есть Jekyll, Hugo...

Ответьте все же - 555 на папки и 444 на файлы. Поможет делу?

не на 100%, во многих случаях нет

Насмешили конечно =) Для статики есть Jekyll, Hugo...

Ответьте все же - 555 на папки и 444 на файлы. Поможет делу?

Просканируй сайт айболитом в режиме "Параноидальный", увидишь много чего нового. Про остальные способы забудь