Всем привет!
На днях не смог зайти в админку (Joomla 3.3.3 + JoomGallery 3.1.1), ввожу логин и пароль, страница просто перезагружается и всё. В БД, менял пароли, создавал новых суперадминов - результат тот же.
Пишу хостеру, так мол и так, спасите-помогите... Получаю ответ:
На следующий день - сайт забанил хостер, с пометкой "Рассылает спам", (мне открыли доступ по IP). Первым делом я выкачал сайт и собрал его на денвере, и уже в локальной версии, на странице входа увидел это:
Далее действовал наугад - с чистой Joomla выдернул файл
substr_replace.php и скормил с заменой "заболевшей" локальной версии сайта и... сразу зашел в админку. Это же сработало и с сайтом на хостинге.
Создал нового суперадмина, логин, пароль. В корне нашел папку с названием 2000GT в которой было несколько сотен HTML файлов с ссылками ведущими на какие-то азиатские сайты, папку удалил. В файле
.htaccess был в самом верху строки
Заменил этот файл на оригинальный. Еще в корне появились файлы
week.php, db.php, error.php, include.php, license.php, proxy.php, session.php некоторые пустые, некоторые со странным содержимым, так же их удалил. При проверке исходящих ссылок увидел только одну, вела она на сайт какого-то сервера, моих ссылок не было совсем никаких, ни внутренних, ни внешних. После проделанных вышеописанных действий - чужая ссылка пропала, все мои ссылки появились.
Сейчас обновился до Joomla 3.4.5 Копаюсь в файлах, может найду какие нибудь "левые" ссылки закодированные в Base64. На этом мои и так слабые знания заканчиваются.
В связи со всем приключившимся прошу совет. Как вычистить "заразу" с сайта, куда копать и на что обратить внимание, и как обезопаситься на будущее от подобных неприятностей?
Спасибо!
p.s. в файле defines.php было в base64 закодировано это:
Подскажите пожалуйста, что это за URL такой, "опасный" или нет?