Два проникновения на сайт с обновленной Joomla 3.4.8 - Безопасность сайтов на Joomla

• Сайту около 2 лет
• Joomla обновила сразу, как узнала про уязвимость
• Шаблон - самопис
• Из сторонних компонентов стоят PhocaGallery и Xmap - оба скачаны с официальных сайтов, своевременно обновляются
• Сторонних модулей и плагинов нет вообще ни одного. Мелочи вроде кнопки "вверх", замены генератора и т. п. делались своими силами - пару лет назад пыталась освоить php и JavaScript, так и не выучила, но на мелочи моего базового набора навыков вполне хватило.
• До декабря взломов не замечала, было несколько попыток брута безуспешных
• Пароли и хостинга и сайта с БД сложные, с буквами разного регистра и спецсимволами, массово меняю примерно раз в месяц
• На сайте нет рекламы,  сапы и прочего - проект по истории, некоммерческий
• Админка дополнительно запаролена средствами хостинга
• Доступ по ftp отключен года полтора назад под влиянием паранойи.

Удивительно хорошо написанный пост.
По сабжу - скорее всего недочистили.

А бэкапы до заражения имеются?
Если да - то можно сравнить на наличие файлов, которых не было (ftp в первую очередь).
Сайт на учетке один?

Не дочистили. Надо искать еще, что осталось.

В папку /cache, /tmp, /images , /administrator/cache
.htaccess с запретом на выполнение скриптов

В папку /cache, /tmp, /images , /administrator/cache
.htaccess с запретом на выполнение скриптов

RemoveHandler .phtml .php .php3 .php4 .php5 .php6 .phps .cgi .exe .pl .asp .aspx .shtml .shtm .fcgi .fpl .jsp .htm .html .wml
AddType application/x-httpd-php-source .phtml .php .php3 .php4 .php5 .php6 .phps .cgi .exe .pl .asp .aspx .shtml .shtm .fcgi .fpl .jsp .htm .html .wml

Спасибо, в папки с кэшем закинула, а в остальных ранее ставила .htaccess. Код этот, я правильно понимаю?

Код

RemoveHandler .phtml .php .php3 .php4 .php5 .php6 .phps .cgi .exe .pl .asp .aspx .shtml .shtm .fcgi .fpl .jsp .htm .html .wml
AddType application/x-httpd-php-source .phtml .php .php3 .php4 .php5 .php6 .phps .cgi .exe .pl .asp .aspx .shtml .shtm .fcgi .fpl .jsp .htm .html .wml

Может больше нет ничего? Он 4 раза по кругу протыкался. Сначала GET запросы к своим файлам - везде 404 получил, потом POST запросы всякие - тоже чисто там, куда совался.

Рекомендую запреты выстовлять ....
Ответам хидеров, не стоит доверять, можно бегдор так сделать, что вы будите видеть в логах 404 или другую ошибку, а по факту будет выполняться бегдор.

Спасибо Вам огромное. Большую часть рекомендаций мне сделать не по силам (не умею) - попросила хостера помочь, скопировала Ваш пост - вот разбирается.
По хидерам - я вручную проверила файлы, к которым он обращался. Выкидывало на 404 страницу меня тоже. Поэтому здесь пока не знаю.

<?php
header("HTTP/1.0 404 Not Found");

if(isset($_COOKIES['id']='info')){
phpinfo();
}

?>

вы смотрите по наличию файла

61.100.180.31 - - [10/Jan/2016:09:38:16 +0300] "POST /plugins/content/pagebreak/javascript.php HTTP/1.0" 404 1594 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:33.0) Gecko/20100101 Firefox/33.0"
61.100.180.31 - - [10/Jan/2016:09:38:17 +0300] "POST /modules/mod_languages/config.php HTTP/1.0" 404 1594 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:33.0) Gecko/20100101 Firefox/33.0"
61.100.180.31 - - [10/Jan/2016:09:38:19 +0300] "POST /modules/mod_footer/xml.php HTTP/1.0" 404 1594

это не движка вообще файлы.

дайте код спойлелом, всем удобнее будет

Если уверены что сайт чист, сделайте md5hash суммы файлов и переодически сверяйте их

Я бы проверил на вашем месте еще почту....

Касаемо того, как искать файлы, большая часть из тех, в которые код добавлен, находятся через фар или тотал командер, если вбить в поиск по маске *.*php и в самом поиске вбить просто без всего, пробелов 15-20.........
Текст там в бейс64, как верно замечено, и по нему искать не получится - он разный...........

dtce6os_ba4p
d4esboa_tcp6
abs_6pc4odte
t4sdapb6oce_

сам код искусственно смещается сильно вправо, для того, чтобы при открытии в текстовом редакторе вы его визуально не увидели, если бы не стали скролить вправо.

Самих же страничек у меня нагенерило 30 тысяч за примерно сутки-полутора, все на китайском, на момент их нахождения и удаления.

Код

dtce6os_ba4p
d4esboa_tcp6
abs_6pc4odte
t4sdapb6oce_

sitemap.xml в корне сайта хакер оставляет свойИ проверить в поисковиках свой сайт site:http://site.ru

У меня по этому ничего не находит на зараженном бэкапе, оно генерится рандомно, как и добавляемые файлы, как и места, куда они добавляются. Метод с пробелами, кстати, тоже не сто процентный, у меня было 2-3 файла, у которых код были выстроен лесенкой, чтобы нормально не искаться таким образом. Но 95% так находит точно.

Касаемо проверки гуглом, он на самом деле ничего толком не проверяет, у меня ни Яндекс, ни Google, ни любой другой онлайн антивирус ничего не нашли, хотя уже было 50+ зараженных файлов и шел спам. Все, на что среагировал Google у вас, это левые странички в огромном кол-ве, которые попали в индекс похоже, кроме этого толку от него нет, так что не особо полагайтесь.

У меня по этому ничего не находит на зараженном бэкапе....

А какой у вас шаредхостинг?

А права стояли 644 на него (только чтение)?