.htaccess uudelleenohjaukset pöpösivuille

Moro vain pitkästä aikaa..

Nyt joutui hommiin sivujen kanssa, kun sinne oli ujutettu uudelleenohjaus ja alkoi tulla soittoja että virustutkat huutaa sivuilla ja välillä yrittää mennä jonnekkin venäjälle..

Kiirettä kun elämässä riittää niin huomasin että Joomla oli vanha 1.5.23? muistaakseni.. + muutamat lisäkomponentit oli myös kivikautisia.

Viimeksi muokattuja filejä palvelimella oli .htaccess filut joita olikin ilmestynyt jokapaikkaan.
Tässä sisältöä (osoitteet muokattuna xxx)


Siivosin ylimääräiset ja palautin alkuperäisen .htaccess tiedoston. Päivitin kaikki uusimpaan versioon ja vaihdoin kaikki salasanat.
sitecheck.sucuri.net sanoi että clean.

Kuitenkin 30-40minuutin päästä .htaccess oli taas muokattu?

Sivut on yksinkertaiset ja paria asennettua komponenttia lukuunottamatta toteutettu täysin Joomlalla.
Kuinkahan tässä lähtisi etenemään??

Sucuri sanoo:
www.osoite.com/javasript404.js
Suspicious domain detected.

Jos käytössäsi on Joomla 1.5.23, aloitat tietysti sillä että päivität sen uusimpaan versioon. Sivut kannattaa ottaa offline päivityksen ajaksi ja tarkastaa vielä kaikki kansiot noiden .htaccess filujen varalle.

Eräällä asiakkaallani oli aivan sama tilanne, kun ei ollut päivittänyt sivujaan. Ongelma korjaantui Joomlan päivityksen jälkeen.

Joomla päivitetty viimeisimpään 1.5.26 versioon.
Lisäosat päivitetty uusimpaan.
Kirjoitusoikeudet yms tarkistettu.
Kaikki salasanat vaihdettu.

Joku reikä tuolla on vielä oltava?

Kävitkö varmasti kaikki kansiot läpi noiden .htaccess tiedostojen varalta? Ne kun ehtii luomaan uusia sitä mukaa kun poistaa?

Kannattaa ehkä ladata palvelimen tiedostot omalle koneelle, deletoida palvelimelta kaikki, puhdistaa tiedot omalla koneella ja ladata takaisin!

Mulla oli toveri saanut ujutettua Joomlan STORIES -hakemistoon pari PHP-tiedostoa, jotka sisälsivät näppärän takaoven sivustoon.
Toveri pystyi sitten ajamaan tuota PHP-tiedostoa, ilmeisesti jollain automatiikallaabout 20min välein ja antamaan sille parametreinä uusia metkuja suoritettavaksi.
Tätä kautta pääsivät sitten vaihtelemaan noita -htaccess -tiedostoja, lähinnä samalla palvelimella olevalta PHPBB-foorumilta.

Etsi sivustolta viimeisten muutaman päivän aikana muutetut PHP-tiedostot. Se virus on jokin tai jotkin niistä.
Itse poistin vaan nuo ylimääräiset PHP-tiedostot ja kun Joomla-sivusto on lukossa, ei .htaccessit enää muutu.
En tosin vielä tiedä, mitä reikää käyttäen tuon PHP-tiedoston ujuttaminen sivustolle on ollut mahdollista, mutta kun foorumi on lukossa, eivät ole uutta PHP-tiedosta ujuttaneet vielä.

e: sun pitää käsin poistaa nuo PHP-tiedostot. Joomlan päivittäminen uuteen versioon ei auta, jos toveri on jo tuon PHP-tiedoston sun palvelimelle ujuttanut. Toki uusi versio on hyvästä ennaltaehkäisyksi. Olisi kiva tietää, onko joku löytänyt tuon reiän, mitä käyttäen toveri tuon PHP-tiedostonsa saa meidän palvelimille ujutettua.

NonCoder kirjoitti: Joomla päivitetty viimeisimpään 1.5.26 versioon.
Lisäosat päivitetty uusimpaan.
Kirjoitusoikeudet yms tarkistettu.
Kaikki salasanat vaihdettu.

Joku reikä tuolla on vielä oltava?

Kehottaisin ottamaan yhteyttä palveluntarjoajaan.
Koska siellä on tuollaista aktiviteettiä ollut ihan viime aikoina niin ei ole kovinkaan vaikeaa palvelimen lokeista löytää mitä takaporttia on käytetty.

Ja jos on kyseessä cPanel palvelin niin voi itsekin tutkia kävijälokeja:
cPanel-> Tilastot ja lokitiedostot-> Viimeisimmät kävijät
ja
cPanel-> Tilastot ja lokitiedostot-> Kävijälokit

Tämä sama ongelma käsiteltiin n. Viikko sitten täällä samalla foorumilla. Käsittääkseni on kyse samasta pöpöstä, joka on eripirullinen. Eli katselkaa aiempia topicceja.. olen puhelimella liikenteessä joten en jaksa tällä ruveta penkomaan (tapatalk tukea kaipaisi kovasti).

Eli tuo tartunta voi olla oikeastaan missä tahansa php tiedostossa. Pahimmalla kerralla taisi olla koodinpätkää useassa kymmenessä filussa, joista suurin osa sivupohjissa.

offtopic mutta täältä +1 tapatalkille

Minulla oli kanssa vähän samaa ongelmaa omilla sivuilla, toki php tiedostojen kanssa. Sucurilla oli joku scripti (world pressille tarkoitettu mutta kävi myös joomlaan) jonka ajamalla sai puhdistettua joko kotisivuhakemiston php tiedostot kerralla. Kyse oli jostain Eval base64_decode jutusta. antoi uudelleenohjaus pyyntöjä jatkuvasti haittasivuille. Sucurin scriptin ajoin ja sitten ostin tuon OSE securitysuiten ja tietty kaikki muut asiat laitoin kuntoon, ja kunnossa olen pitänyt. Ei ongelmaa...

Kokeilin taas kaikkea mahdollista ja tutkin kaikki hakemistot.
Sivut oli taas siivottu, mutta 30-40min myöhemmin tilanne palautui samaksi.

Latasin äsken varmuuskopion omalle koneelle ja löysin stories kansiosta story.php:n mitä ei ainakaan uudessa Joomla asennuspaketissa ole?

Tuo on ainaskin gaggaa ja voi olla muutakin.. eli tarkasti vaan kaikki kansiot läpi.