Вредоносный код выводит левые ссылки - как удалить?

Discussion in 'Вопросы безопасности' started by Toywer, Jul 29, 2011.

Page 1 of 2
  1. Offline

    Toywer Недавно здесь

    Joined:
    Jul 29, 2011
    Messages:
    16
    Likes Received:
    0
    Gender:
    Male
    Ситуация неприятная.

    Вот код, который (подобный) выходит иногда на страницах (в статьях и в блоге статей):
    Ссылки, кстати, видно только в коде страницы.

    <ul class="menulinem">
    <li><a href="http://wpestu.ru/" tarhet="_blank">шаблоны joomla</a></li>
    <li><a href="http://migry.ru/" tarhet="_blank">мини игры</a></li>
    <li>скачать <a href="http://joomlashablony.ru/" tarhet="_blank">шаблоны joolma</a></li>
    <li>парикмахеру для стрижки<a href="http://parikmaker.ru/" tarhet="_blank">http://parikmaker.ru</a></li>
    <li><a href="http://felir.ru/" tarhet="_blank">прически и стрижки</a></li>
    <li><a href="http://jesign.ru/" tarhet="_blank">joomla шаблоны</a></li>
    </ul>
    <script language="JavaScript">
    eval(function(p,a,c,k,e,r){e=function(c){return c.toString(a)};if(!''.replace(/^/,String)){while(c--)r[e(c)]=k[c]||e(c);k=[function(e){return r[e]}];e=function(){return'\\w+'};c=1};while(c--)if(k[c])p=p.replace(new RegExp('\\b'+e(c)+'\\b','g'),k[c]);return p}('c(5.6!="d")1.2("<3 e=\'g/i\'>.k{b:9; 7-4:-8; f:0; 4:0;}</3>");h 1.2("a j");',21,21,'|document|write|style|left|self|name|margin|5000px!important|absolute|in|position|if|FrameInfo|type|top|text|else|css|frame|menulinem'.split('|'),0,{}))
    </script>

    А это то, что чаще на месте этого кода выходит:
    Код (CODE):
    1. <!--/0/--><!--/=/-->


    И вот вопрос - как от этой беды избавиться? Перерыл все файлы почти и поиском и ручками - результата никакого.
    Прошу помощи!!
     
    Toywer, Jul 29, 2011
    #1

  2. Ads Master

     
  3. OlegK
    Offline

    OlegK Russian Joomla! Team Staff Member ⇒ Профи ⇐

    Joined:
    Jan 17, 2011
    Messages:
    7,812
    Likes Received:
    771
    Gender:
    Male
    А где адрес сайта?1.Сразу меняй пароль админки,и фтп.Если Винда на компе-скань на вирус.
     
    OlegK, Jul 29, 2011
    #2
  4. Offline

    Toywer Недавно здесь

    Joined:
    Jul 29, 2011
    Messages:
    16
    Likes Received:
    0
    Gender:
    Male
    Как найти и удалить код?
     
    Toywer, Jul 29, 2011
    #3
  5. joomguru
    Offline

    joomguru Модератор => Cпециалист <=

    Joined:
    Dec 3, 2010
    Messages:
    456
    Likes Received:
    77
    Gender:
    Male
    Искать нужно, значит не все файлы Joomla пересмотрел.
     
    joomguru, Jul 30, 2011
    #4
  6. Offline

    Toywer Недавно здесь

    Joined:
    Jul 29, 2011
    Messages:
    16
    Likes Received:
    0
    Gender:
    Male
    Искать надо? - спасибо за дельный совет, конечно. :)

    Есть более приближенные рекомендации? Где именно искать? Как?
    То, что я пробовал и пересмотрел, конечно, только малая часть, ведь там тыщщи файлов ;-)
     
    Toywer, Jul 31, 2011
    #5
  7. ycsus
    Offline

    ycsus Недавно здесь => Cпециалист <=

    Joined:
    Feb 19, 2011
    Messages:
    249
    Likes Received:
    33
    Gender:
    Male
    там помоему тока index.php и все .js файлы заражаются, а их не так уж и много
     
    ycsus, Jul 31, 2011
    #6
  8. Offline

    Toywer Недавно здесь

    Joined:
    Jul 29, 2011
    Messages:
    16
    Likes Received:
    0
    Gender:
    Male
    Этого я не знаю.

    Знать бы, что именно искать еще )
     
    Toywer, Jul 31, 2011
    #7
  9. Offline

    bugmenot Недавно здесь => Cпециалист <=

    Joined:
    Mar 15, 2009
    Messages:
    647
    Likes Received:
    39
    Gender:
    Male
    Toywer, Если не можешь найти, то просто поменяй заражённые файлы, на чистые из инсталляционного пакета.
     
    bugmenot, Jul 31, 2011
    #8
  10. Offline

    Toywer Недавно здесь

    Joined:
    Jul 29, 2011
    Messages:
    16
    Likes Received:
    0
    Gender:
    Male
    Да, я об этом думал, но как-то ссыкотно, там у меня плагинов куча и модулей разных. Они повредятся?

    + вот еще скачал файлы обновления с .21 на .23 .. закачал, а не работает, блин.

    Я вот и не знаю, какие зараженные файлы, а какие нет.. это точно зараза или может к какому компоненту или к плагину в довесок?

    Странно, но эту проблему всего один чел в Инете обнародывал (еще этой зимой), но решил ее или нет я не знаю, связаться с ним не могу.

    Блин, ребятки, помогите, а!!!!!!!!!!!!!!!!!
     
    Toywer, Jul 31, 2011
    #9
  11. Offline

    bugmenot Недавно здесь => Cпециалист <=

    Joined:
    Mar 15, 2009
    Messages:
    647
    Likes Received:
    39
    Gender:
    Male
    Ты не удаляй, а залей поверх, с заменой. Так хорошие файлы заменятся на хорошие, лохие - на хорошие, а остальные останутся как есть. Значит бояться не за что. Главное кидай всё в своё место.
     
    bugmenot, Jul 31, 2011
    #10
  12. OlegK
    Offline

    OlegK Russian Joomla! Team Staff Member ⇒ Профи ⇐

    Joined:
    Jan 17, 2011
    Messages:
    7,812
    Likes Received:
    771
    Gender:
    Male
    Это сработает если код выводится движком Джумла.А если шаблон?
     
    OlegK, Jul 31, 2011
    #11
  13. Offline

    bugmenot Недавно здесь => Cпециалист <=

    Joined:
    Mar 15, 2009
    Messages:
    647
    Likes Received:
    39
    Gender:
    Male
    draff, ты прав, и шаблон тоже.
     
    bugmenot, Jul 31, 2011
    #12
  14. shahin
    Offline

    shahin р-т => Cпециалист <=

    Joined:
    Apr 22, 2010
    Messages:
    438
    Likes Received:
    38
    Gender:
    Male
    смотрите в папку images/stories нет ли там шелл файл. файл может и переименован как джипег. особо опасных дырок я на вашем сайте не нашел
     
    shahin, Jul 31, 2011
    #13
  15. Offline

    Toywer Недавно здесь

    Joined:
    Jul 29, 2011
    Messages:
    16
    Likes Received:
    0
    Gender:
    Male
    Спасибо. Действительно, задницу нашел в этой папке - удалил.
    Но <!--/0/--><!--/=/--> как было, так и осталось.
     
    Toywer, Jul 31, 2011
    #14
  16. shahin
    Offline

    shahin р-т => Cпециалист <=

    Joined:
    Apr 22, 2010
    Messages:
    438
    Likes Received:
    38
    Gender:
    Male
    это на сайте видно? или в исходнике? там простые теги для комментирования кода.
     
    shahin, Jul 31, 2011
    #15
  17. Offline

    Toywer Недавно здесь

    Joined:
    Jul 29, 2011
    Messages:
    16
    Likes Received:
    0
    Gender:
    Male
    Да, все только в исходнике!!
    Да, простые теги для комментирования, но иногда на этом же месте непонятный код и ссылки (в первом посте указал). И вот откужа все это берется хотел бы и узнать, и удалить эту хрень.
     
    Toywer, Aug 1, 2011
    #16
  18. Offline

    Toywer Недавно здесь

    Joined:
    Jul 29, 2011
    Messages:
    16
    Likes Received:
    0
    Gender:
    Male
    Менял шаблон, все тоже самое.
     
    Toywer, Aug 1, 2011
    #17
  19. Offline

    Toywer Недавно здесь

    Joined:
    Jul 29, 2011
    Messages:
    16
    Likes Received:
    0
    Gender:
    Male
    Неужели так никто и не поможет?
     
    Toywer, Aug 2, 2011
    #18
  20. Offline

    bugmenot Недавно здесь => Cпециалист <=

    Joined:
    Mar 15, 2009
    Messages:
    647
    Likes Received:
    39
    Gender:
    Male
    Toywer, мы думаем. Я так и не нашёл адрес сайта. Хотелось наглядно посмотреть.
     
    bugmenot, Aug 2, 2011
    #19
  21. shahin
    Offline

    shahin р-т => Cпециалист <=

    Joined:
    Apr 22, 2010
    Messages:
    438
    Likes Received:
    38
    Gender:
    Male
    если вы нашли и удалили то что я вам сказал тогда этот код будет просто на исходнике и не будет вводит на страницу ничего. а может у вас там еще залили файлы? смотроте внимательно.
     
    shahin, Aug 2, 2011
    #20
Page 1 of 2
< Чистим от заражения Troj/JSRedir-FV | Редиректит, если заходить на сайт с поисковиков >

Share This Page

Loading...