Новости Joomla

Совет по Joomla: использовать выключенное состояние для кнопок в списках элементов админки

Онлайн-трансляции Joomla-разработки Игоря Бердичевского

20 лет Joomla: Ринат Кажетов

20 лет Joomla: Ринат Кажетов.В 2025 году Joomla исполнилось 20 лет

В 2025 году Joomla исполнилось 20 лет. Вокруг неё сложилось большое интернациональное русскоязычное сообщество. На сайте нашего сообщества и на Хабре к юбилею были собраны интервью с его видными представителями. Сегодня мы читаем интервью с Ринатом Кажетовым (@rkazhet). Ринат - один из администраторов чата русскоязычного Joomla-сообщества, из Казахстана. Это человек, который всегда знает или найдёт нужную ссылку, пристально следит за новостями в мире Joomla, многое узнаёт первым и просто очень отзывчивый человек. Интервью с Ринатом провёл Евгений Сивоконь.

Читать интервью

1   Вниз
0 Пользователей и 1 Гость просматривают эту тему.
  • 6 Ответов
  • 3083 Просмотров
*

serhy

  • Осваиваюсь на форуме
  • 16
  • 0 / 0
Взломали сайт небольшого сообщества
« : 06.04.2014, 01:59:08 »
Доброй ночи уважаемые форумчане!

На днях хостер приостановил обслуживание сайта, на e-mail пришло письмо "Ваш сайт скомпрометирован и стал источником спама".

Первым делом скачал бекап сайта на компьютер, при проверки его nod'ом, нашелся вредоносный файл "ccs.php" (PHP/WebShell.NAG троянская программа) в /templates/ccs.php. Поискал данный файл и все что делал этот IP в access_log, нашлись строчки:
Код
193.110.73.2 - - [22/Mar/2014:22:21:54 +0400] "GET / HTTP/1.0" 200 88784 "-" "Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; WebMoney Advisor; MRA 5.0 (build 02094); MRSPUTNIK 2, 0, 0, 20 SW)"
193.110.73.2 - - [22/Mar/2014:22:21:59 +0400] "GET /templates/bizblue/favicon.ico HTTP/1.0" 200 1685 "-" "-"
193.110.73.2 - - [30/Mar/2014:01:05:33 +0400] "GET /engine/classes/min/index.php?f=engine/data/dbconfig.php%00.js HTTP/1.0" 404 569 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:23.0) Gecko/20100101 Firefox/23.0"
193.110.73.2 - - [01/Apr/2014:11:53:58 +0400] "POST /index.php HTTP/1.0" 200 144867 "http://mywebsite.ru/index.php" "Python-urllib/2.7"
193.110.73.2 - - [01/Apr/2014:11:54:00 +0400] "POST /index.php HTTP/1.0" 200 159 "http://mywebsite.ru/index.php" "Python-urllib/2.7"
193.110.73.2 - - [01/Apr/2014:11:54:01 +0400] "GET /templates/ccs.php?input HTTP/1.0" 200 13105 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:19.0) Gecko/20100101 Firefox/19.0"
193.110.73.2 - - [01/Apr/2014:12:32:40 +0400] "POST /templates/ccs.php?input HTTP/1.0" 200 13105 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.9.1.1) Gecko/20090715 Firefox/3.5.1 (.NET CLR 3.5.30729)"
193.110.73.2 - - [01/Apr/2014:12:32:40 +0400] "POST /templates/ccs.php?input HTTP/1.0" 200 26457 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.9.1.1) Gecko/20090715 Firefox/3.5.1 (.NET CLR 3.5.30729)"
193.110.73.2 - - [01/Apr/2014:12:32:40 +0400] "POST /templates/ccs.php?input HTTP/1.0" 200 16718 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.9.1.1) Gecko/20090715 Firefox/3.5.1 (.NET CLR 3.5.30729)"
193.110.73.2 - - [01/Apr/2014:12:32:40 +0400] "POST /templates/ccs.php?input HTTP/1.0" 200 7628 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.9.1.1) Gecko/20090715 Firefox/3.5.1 (.NET CLR 3.5.30729)"
193.110.73.2 - - [01/Apr/2014:12:32:40 +0400] "POST /templates/ccs.php?input HTTP/1.0" 200 7628 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.9.1.1) Gecko/20090715 Firefox/3.5.1 (.NET CLR 3.5.30729)"
193.110.73.2 - - [01/Apr/2014:12:32:40 +0400] "POST /templates/ccs.php?input HTTP/1.0" 200 7628 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.9.1.1) Gecko/20090715 Firefox/3.5.1 (.NET CLR 3.5.30729)"

В error_log данный IP наделал ошибок:
Код
[Sun Jan 19 01:50:30 2014] [error] [client 193.110.73.2] File does not exist: /var/www/vhosts/mywebsite.ru/httpdocs/backup, referer: http://bing.com
[Sun Jan 19 01:50:30 2014] [error] [client 193.110.73.2] File does not exist: /var/www/vhosts/mywebsite.ru/error_docs/not_found.html, referer: http://bing.com
[Sun Jan 19 01:50:30 2014] [error] [client 193.110.73.2] File does not exist: /var/www/vhosts/mywebsite.ru/httpdocs/backups, referer: http://google.com
[Sun Jan 19 01:50:30 2014] [error] [client 193.110.73.2] File does not exist: /var/www/vhosts/mywebsite.ru/error_docs/not_found.html, referer: http://google.com
[Sun Jan 19 01:50:30 2014] [error] [client 193.110.73.2] File does not exist: /var/www/vhosts/mywebsite.ru/httpdocs/admin, referer: http://yandex.ru
[Sun Jan 19 01:50:30 2014] [error] [client 193.110.73.2] File does not exist: /var/www/vhosts/mywebsite.ru/error_docs/not_found.html, referer: http://yandex.ru
[Sun Jan 19 14:18:34 2014] [error] [client 193.110.73.2] File does not exist: /var/www/vhosts/mywebsite.ru/httpdocs/plugins/editors/tinymce/jscripts
[Sun Jan 19 14:18:34 2014] [error] [client 193.110.73.2] File does not exist: /var/www/vhosts/mywebsite.ru/error_docs/not_found.html
[Sun Jan 19 15:29:39 2014] [error] [client 193.110.73.2] File does not exist: /var/www/vhosts/mywebsite.ru/httpdocs/phpMyAdmin
[Sun Jan 19 15:29:39 2014] [error] [client 193.110.73.2] File does not exist: /var/www/vhosts/mywebsite.ru/error_docs/not_found.html
[Thu Mar 06 07:39:52 2014] [warn] [client 193.110.73.2] mod_fcgid: stderr: PHP Fatal error:  Uncaught exception 'InvalidArgumentException' with message 'Invalid URI detected.' in /var/www/vhosts/mywebsite.ru/httpdocs/libraries/joomla/environment/uri.php:194
[Thu Mar 06 07:39:52 2014] [warn] [client 193.110.73.2] mod_fcgid: stderr: Stack trace:
[Thu Mar 06 07:39:52 2014] [warn] [client 193.110.73.2] mod_fcgid: stderr: #0 /var/www/vhosts/mywebsite.ru/httpdocs/libraries/joomla/environment/uri.php(238): JURI::getInstance()
[Thu Mar 06 07:39:52 2014] [warn] [client 193.110.73.2] mod_fcgid: stderr: #1 /var/www/vhosts/mywebsite.ru/httpdocs/libraries/joomla/environment/uri.php(277): JURI::base()
[Thu Mar 06 07:39:52 2014] [warn] [client 193.110.73.2] mod_fcgid: stderr: #2 /var/www/vhosts/mywebsite.ru/httpdocs/plugins/system/azrul.system/pc_includes/helper.php(16): JURI::root()
[Thu Mar 06 07:39:52 2014] [warn] [client 193.110.73.2] mod_fcgid: stderr: #3 /var/www/vhosts/mywebsite.ru/httpdocs/plugins/system/azrul.system/azrul.system.php(25): include_once('/var/www/vhosts...')
[Thu Mar 06 07:39:52 2014] [warn] [client 193.110.73.2] mod_fcgid: stderr: #4 /var/www/vhosts/mywebsite.ru/httpdocs/libraries/joomla/plugin/helper.php(171): require_once('/var/www/vhosts...')
[Thu Mar 06 07:39:52 2014] [warn] [client 193.110.73.2] mod_fcgid: stderr: #5 /var/www/vhosts/mywebsite.ru/httpdocs/libraries/joomla/plugin/helper.php(125): JPluginHelper::_import(Object(stdClass), true, NULL)
[Thu Mar 06 07:39:52 2014] [warn] [client 193.110.73.2] mod_fcgid: stderr: #6 /var/www/vhosts/mywebsite.ru/httpdocs/libraries/joomla/application/application.php(229): JPluginHelper::importPlugin('system')
[Thu Mar 06 07:39:52 2014] [warn] [client 193.110.73.2] mod_fcgid: stderr: #7 /var/www/vhosts/mywebsite.ru/httpdocs/incl in /var/www/vhosts/mywebsite.ru/httpdocs/libraries/joomla/environment/uri.php on line 194
[Sun Mar 30 01:05:33 2014] [error] [client 193.110.73.2] File does not exist: /var/www/vhosts/mywebsite.ru/httpdocs/engine
[Sun Mar 30 01:05:33 2014] [error] [client 193.110.73.2] File does not exist: /var/www/vhosts/mywebsite.ru/error_docs/not_found.html

В логах авторизаций по FTP только мой IP.

Открою одну тайну, на сайте установлены 2 платных компонента которые очень давно не обновлялись, это JomSocial и EasyBlog.

Все же, невзирая на не обновленные компоненты, можно ли сказать по логам как был залит файл ccs.php?
Записан
*

wishlight

  • Гуру
  • 5074
  • 319 / 1
  • От 300 руб быстрый хостинг. Сервера.
Re: Взломали сайт небольшого сообщества
« Ответ #1 : 06.04.2014, 07:47:38 »
Что вообще установлено и какие версии расширений и Joomla?
Записан
*

draff

  • Гуру
  • 5801
  • 434 / 7
  • ищу работу
Re: Взломали сайт небольшого сообщества
« Ответ #2 : 06.04.2014, 08:47:28 »
Joomla откуда скачана ?
Записан
*

flyingspook

  • Moderator
  • 3590
  • 247 / 9
Re: Взломали сайт небольшого сообщества
« Ответ #3 : 06.04.2014, 11:45:25 »
Цитировать
Открою одну тайну, на сайте установлены 2 платных компонента которые очень давно не обновлялись, это JomSocial и EasyBlog.
открою вам уже давно не для кого не тайну, обновить вам все надо
Цитировать
Все же, невзирая на не обновленные компоненты, можно ли сказать по логам как был залит файл ccs.php?
можно, но вы не то смотрите, вам не только по IP смотреть надо но и историю создания этого скрипта, как именно залит он, и вопрос самый главный это время хранения ваших логов, если период 180 дней и более то может и увидите разобрав все логи, бывает скрипты иногда при взломе лежат без действия долгое время, логи уже затираются из-за короткого срока хранения, еще момент через ваш сайт ли залили, если через соседний сайт ваш или на хосте то возможно и не увидите у себя в логах
Записан
*

serhy

  • Осваиваюсь на форуме
  • 16
  • 0 / 0
Re: Взломали сайт небольшого сообщества
« Ответ #4 : 06.04.2014, 12:59:26 »
Цитата: wishlight от 06.04.2014, 07:47:38
Что вообще установлено и какие версии расширений и Joomla?
В данный момент точные версии посмотреть не смогу, на память точно могу сказать что Joomla 2.5.19, Kunena 3.0.3. Про JomSocial, EasyBlog, Akeeba Backup, sh404SEF и все остальное смогу посмотреть только в понедельник.

Цитата: draff от 06.04.2014, 08:47:28
Joomla откуда скачана ?
Joomla и все компоненты были скачаны с сайтов разработчиков.

Цитата: flyingspook от 06.04.2014, 11:45:25
открою вам уже давно не для кого не тайну, обновить вам все надоможно, но вы не то смотрите, вам не только по IP смотреть надо но и историю создания этого скрипта, как именно залит он, и вопрос самый главный это время хранения ваших логов, если период 180 дней и более то может и увидите разобрав все логи, бывает скрипты иногда при взломе лежат без действия долгое время, логи уже затираются из-за короткого срока хранения, еще момент через ваш сайт ли залили, если через соседний сайт ваш или на хосте то возможно и не увидите у себя в логах
Да, логи хранятся что то около 180 дней... Еще не совсем разобрался что именно в логах искать...

Есть задумка - если cms и все компоненты, модули, плагины последних версий по новой скачать, установить и подцепить БД которая сейчас. В БД полагаю могут уже быть какие то жуки, лазейки?
Записан
*

flyingspook

  • Moderator
  • 3590
  • 247 / 9
Re: Взломали сайт небольшого сообщества
« Ответ #5 : 07.04.2014, 10:43:09 »
Цитировать
В БД полагаю могут уже быть какие то жуки, лазейки?
нет там "лазейки" это только доступы, если что то установили по мимо вас то останется просто мусор, еще как вариант вы установите все старое(версии), по тому что у нового может быть отличие по таблицам БД и оно возможно не заработает на старой базе, работа все равно по время затратам такая же если вы не знаете как её делать, даже объемнее получится
Записан
*

serhy

  • Осваиваюсь на форуме
  • 16
  • 0 / 0
Re: Взломали сайт небольшого сообщества
« Ответ #6 : 08.04.2014, 17:07:15 »
Установленные версии компонентов:
Код
AcePolls 1.0.8 , Akeeba Backup 3.10.2, EasyBlog 3.6.13546, JomSocial 2.6.2, Joomla 2.5.19, Kunena форум 3.0.3, sh404SEF 3.5.0.1295
+ еще старые версии модулей, плагинов да и много хлама. Думаю все же будет лучше, да и наверно легче с начало обновить версии компонентов, чтобы БД приняла правильный вид, затем стереть все файлы и установить все по новой и подцепить БД. Только пока непонятно нормально ли подключатся файлы пользователей и настройки профилей...
Записан
1   Вверх
Чтобы оставить сообщение,
Вам необходимо Войти или Зарегистрироваться
 

При открытии сайта с режима инкогнито перекидывает на вирусный сайт

Автор 62411

 Ответов: 6
Просмотров: 3146 		Последний ответ 31.03.2024, 16:14:32
от SeBun
Netflix! - Клиент поймал фишинг на старый сайт. Где порылись собаки?

Автор Alex_gs

 Ответов: 9
Просмотров: 2260 		Последний ответ 05.11.2021, 21:47:31
от wishlight
Взломали сайт. Как в некоторых случаях делаю я

Автор cntrl

 Ответов: 0
Просмотров: 1136 		Последний ответ 29.08.2020, 00:25:24
от cntrl
Безопасный вход на сайт Joomla и админка

Автор jm

 Ответов: 9
Просмотров: 2280 		Последний ответ 19.07.2020, 23:57:17
от wishlight
[Руководство] Как защитить сайт на версии 1.5 (не поддерживается разработчиками)

Автор flyingspook

 Ответов: 13
Просмотров: 7855 		Последний ответ 08.01.2020, 12:52:55
от winstrool