Joomla взломали и перенаправили на сайт dndelectric

Question

Я искал во всех своих файлах то, что могло бы перенаправить или поместить это вредоносное ПО на мои сайты безрезультатно.Кто-нибудь, кто имел это раньше?Это распространяется на несколько сайтов, которые я принимал.Общий компонент с ними - jevents, но даже коды для этого не были изменены.

Есть ли способ заблокировать эти запросы от .htaccess?

Answer 1

Вам действительно нужно перевести свой сайт в автономный режим - фактически удалить файлы с сервера и определить, какой это тип взлома.

Во-первых, хотя я бы предложил отключить JavaScript в вашем браузере и посетить вашу страницу - вы все еще получаете перенаправление?

Если нет - тогда проблема либо:

a) файл javascript был добавлен на ваш сайт - или существующий файл javascript был отредактирован.Изучите все файлы .js, загружаемые на странице.

b) SQL-инъекция добавила javascript непосредственно в ваши статьи (возможно, каждая статья

Предполагается, что вы перенаправлены, пока javascript отключен- затем вы просматриваете: а) отредактированный файл .htaccess, перенаправляющий вас в другое место б) отредактированный (или «включенный») заголовок настроек php-файла и перенесущий вас в другое место.

Являются ли какие-либо надстройкина вашем сайте (ах), перечисленном здесь: http://www.exploit -db.com / search /? action = search & filter_page = 1 & filter_description = joomla & filter_exploit_text = & filter_author = & filter_platform = 0 & filter_type = 0 & filter_lang_id = 0 & filter_port = & filter_osvveb = * filter_osvveb = & filter_osvveb = * filter_port 101 **

Вам нужно знать, скомпрометирован ли только ваш сайт, или это другие сайты на сервере, или даже если сам сервер был захвачен, и это вопрос для вашего хоста.Немедленное повторное заражение после восстановления из резервных копий может означать: a) задание cron, созданное для повторного заражения вас в определенный период времени; b) другая учетная запись на сервере заражена и обращается к нему, чтобы повторно заразить других; c)Ваш сайт был ранее взломан (файлы были сброшены на сайте), но они находятся в режиме ожидания, ожидая, пока человек или ботнет подключатся и получат контроль.d) или что сервер полностью взломан, и хакер просто повторно подключается для повторного заражения

Есть несколько шагов, которые вы можете предпринять - но, честно говоря, это одна из областей, где, если вам нужно спросить, это, вероятно, признак того, что выне оснащены для решения этой проблемы без помощи экспертов.

1. Вы можете выполнить поиск файлов для возможных шаблонов файлов c99, r57, веб-оболочка, eval (base64decode (и т. д. * 1024)*

2. Вы можете сканировать файлы с недавними датами создания или недавно измененными датами / временем

Файлы, измененные за последние x дней (в данном случае 1 день))

find . -mtime -1

Файлы изменены между двумя датами

find . -type f -newermt "2010-01-01" ! -newermt "2010-06-01"

1. Вам следует проверять файлы журналов на наличие подозрительных действий

2. Вы можете скачать файлы и позволить своей антивирусной программе сканировать их - это может дать вам место для начала (не позволяйте ему удалять файлы, хотя их содержимое может дать дополнительные подсказки).

3. Вам следует заблокировать доступ из известныхавтоматические / скриптовые пользовательские агенты (wget, libwww и т. д.)

В общем, хотя вы могли бы потратить дни на борьбу с этим без гарантии успеха.Мой совет - обратиться за помощью к эксперту по безопасности Joomla.

Answer 2

Для вашей следующей установки вы можете рассмотреть возможность установки также системы обнаружения вторжений на основе хоста OSSEC .Он предлагает несколько функций безопасности, в том числе Проверка целостности файла , которая обнаружила бы изменение ваших файлов .htaccess.OSSEC является бесплатным и открытым исходным кодом.

Answer 3

Я испытал такой же взлом .htaccess на моей учетной записи общего хостинга.У меня было 5 сайтов под управлением Joomla!v 1.5 <---> 2.x.После нескольких часов экспериментов с разрешениями и всеми возможными способами помешать восстановлению вредоносных файлов .htaccess, я обнаружил, что два из моих живых Joomla!У установок были загадочные файлы .php в каталоге 'tmp' [joomla_root / tmp].Один файл был назван как «jos_AjnJA.php», а другой файл был «j.php».Я изменил разрешения для этих двух файлов на 000, а затем снова восстановил мои исходные файлы .htaccess в соответствующих папках.Presto!Файлы .htaccess, наконец, не были перезаписаны злонамеренно в течение нескольких минут, как раньше.24 часа спустя и все работает как надо на всех моих Joomla!устанавливает.

Не могу не подчеркнуть: я уверен, что есть варианты этого эксплойта, но сделайте себе огромную пользу и сначала проверьте все папки tmp на вашем Joomla!устанавливает для любых подозрительных файлов .php!

Answer 4

Возможно, вам придется действительно сравнить каталоги и, если можете, исходные установки расширений, которые вы использовали.Проверьте права доступа к каталогу - если вы видите что-то с 777 или необычно высокими разрешениями, то это может быть хорошим началом того, откуда может возникнуть проблема.Также проверьте журналы ошибок, которые могут указывать на то, что что-то отсутствует или что-то изменилось и теперь выдает ошибку.

Вы хотите попытаться определить проблему / вредоносное ПО / вирус, потому что это поможет вам в следующей части.

Найдите последнюю резервную копию перед тем, как вас взломали, которая является хорошей действительной копией, ииди оттуда.Лучше всего полностью избавиться от текущего сайта и восстановить из резервной копии (полностью) - при условии, что резервная копия не содержит вирус / вредоносное ПО.

Иногда к одной или двум строкам кода добавляется одна или две строки кода.Существующие строки кода, которые вызывают перенаправление - их сложно отследить и идентифицировать, но вы можете сделать это, если вы сравните размеры и тому подобное.Просто много времени.Я надеюсь, что эта информация поможет - удачи.

Кроме того, похоже, что весь ваш сервер скомпрометирован, если он распространяется - не используйте один и тот же пароль для нескольких сайтов или имя пользователя по умолчанию (admin).Всегда меняйте пароли и имя пользователя.Если вы оставите имя пользователя по умолчанию как «admin», хакеры уже имеют 50% логина.Сделайте это жестким, изменив имя пользователя.Оповестите ваш хост, которого вы взломали - они помогут в этих случаях, и могут предотвратить его распространение дальше, чем ваша учетная запись.Измените свои пароли на этом хосте, измените пароли для каждого сайта (желательно после того, как вы очистили вредоносное ПО / вирус).