Предлагаю обсуждать здесь все что касается безопасности joomla: закрытие "дыр", методы выявления вирусов и борьбы с ними. 3 недели назад Яндекс пометил сайт как не желательный для просмотра, на сайте вирус. Сразу же упали продажи, ни одного входящего звонка. При просмотре через любой браузер сайт открывается нормально, антивирус на него не реагирует, но если попробовать войти с мобильного устройства, то идет перенаправление на левые сайты. Сразу не смог выявить левые файлы (так как столкнулся с такой проблемой первый раз), техподдержка яндекса помогла выявить несколько подозрительных файлов: в папке administrator изменили файл index.php и еще появились несколько левых файлов - images.php, libraries.php и sites.php в папке с шаблоном тоже появились левые файлы. И самое главное изменился файл .htaccess причем код добавлен во все .htaccess расположенных в любых директориях, где они есть. Вот сам код, что воткнули в .htaccess: Самое неприятно то, что после восстановления сайта из бекапа, все в течении суток появляется вновь. Для защиты в Jooml'у установил jsecure, BanIP, RSFirewall. Установил винду на чистый диск, поставил лицензионный антивирус, после этого поменял все пароли на вход в адимнку, на базу данных и на доступ по FTP, в TotalCommander'е поставил мастер пароль. Все пароли разные, состоят из цифр и букв в разном регистре (по 40 символов), подобрать практически не возможно, только выкрасть или взломать саму jooml'у другими методами. Сейчас у меня опять левые файлы на сайте. Что делать не знаю. Осталась последняя мысль - лечил только 2 сайта, на площадке у меня их 4 (2 на Joomla 2.5, и 2 на Joomla 1.5), думаю заражение происходит от туда. Сегодня начал полное восстановление всех сайтов на площадке из бекапа, если все идет со второй пары, то надеюсь заражения больше не повторятся. (По результатам отпишусь) Теперь очень остро стоит вопросы безопасности: -Как обезопасить себя на будущее? -Что делать если заражение все таки произошло? -Какие алгоритмы действий для выявления вредоносного кода и борьбы с ним? Думаю для всех эта тема актуальна.
Такое бывает, если устанавливали движок через quick start. Можно попробовать поставить чистую joomly, а потом попробовать заново натянуть шаблон. Работы много, но дело того стоит.
Joomla 2.5 чистая, quick start'ом не пользуюсь, шаблон чистый - делал сам. Сайт проработал год. Из расширений установлены: sh404Sef последней версии, xmap, модуль мультивкладок, редактор JCE и для защиты то, что упоминал выше jsecure, BanIP, RSFirewall. Все, больше ничего лишнего. [quote"]Работы много, но дело того стоит.[/quote] Согласен работы много, еще на стадии создания "попыхтел" прилично. Все модули старался вовремя обновлять, перед установкой любого компонента проверял его на наличие левого кода, перед тем как взломали ничего на сайт кроме материалов не добавлял. --- добавлено: 22 дек 2012 в 11:16 --- Сейчас этим и занимаюсь. Была такая мысль, что сперли пароли. На комп поставил новый диск, установил винду и анивирус, поменял пароли. Только после этого восстановил сайт из бекапа. Через день-два опять появляется левый код. Такое ощущение что зараза переползает с других сайтов на площадке.
Часто бывает что это из за упертого ftp пароля. Первым делом проверяю .htaccess. В нем не должно быть лишних строчек. Их надо в первую очередь вычистить.
Последнюю не ставил, вернее с последней откатился на версию ниже. С новой версией перестал работать плагин imgmanager, у меня версия 209, новее не нашел.
После нелепой установки шаблона постоянно сканят порты! Началось с этого Вот так фаервол пишет! Это ж канитель полюбому с сервака светит,где лопатить?!ПОМОГИТЕ! Я на роуторе поставил на сервак перенаправлять только по 80,а все остальное на мою машину...можно не сцать!?
попробуй установить BanIP, заблокируй с его помощью ip-шники по которым к тебе лезут. --- добавлено: 26 дек 2012 в 16:55 --- Как устанавливал? Просто шаблон установил или быстрый старт использовал?
Может, предложу не совсем корректный шаг, но действенный. Поставить на время (параллельно или вместо) другой движок. Если заражение будет - Joomla ни причём, взлом через ФТП.
Итак, к чему пришел (смотрите начало темы) - все экспериментальные сайты с площадки удалил, осталось три рабочих, один, тот что на joomla 1.5 полностью переделал по новой (сайт-визитка) на jooml'e 2.5. Он 100% чист. 2 и 3 восстановил из бекапа. В итоге: файл .htaccess на всех сайтах изменениям не подвергается, но на одном все так же в папке administrator появляются три файла images.php, libraries.php и sites.php. В 2-х файлах одно и то же содержание, а третий не на много отличается. Декодировать текст не смог, может кто поможет с раскодировкой? Содержание libraries.php --- добавлено: 27 дек 2012 в 19:38 --- Код из файлов images.php и sites.php разместить не смог, больше 1000 символов. Думаю зараза лезет через уязвимость в каком либо из расширений, экспериментирую дальше.
очевидно же, что это вебшелл.) измени в этом коде мд5 на свой пароль зайди и посмотри) уже могли быть и другие файлы подкорректированы, с новой джумлы)
это da9bee45f0556cd2ad8ae1a53461f812 измени на это 4a7d1ed414474e4033ac29ccb8653d9b зайди браузером на эту страницу, пароль будет 0000
Спасибо! Зашел! Охренел. Есть доступ ко всем доменам на площадке. Амир, посоветуйте, какие должны быть действия дальше?
Если через вебшелл есть доступ к сайту, то злоумышленник может делать на нем все что захочет. Возник вопрос, в саму базу данных возможно внедрить какой-либо вредоносный код? Просто не соображу как все правильно вычистить, или придется все с нуля делать?
В БД хранятся только данные, записи.. там кода быть не может (я про джумлу), т.к. там фильтруется вывод.