Ostrzeżenie hostingu o dużym zużyciu procesora

[bnet]

Witam, otrzymałem maila od hostingu z ostrzeżeniem że jedna z moich domen generuje bardzo duże zużycie procesora. Strona działa normalnie, nie ma śladów włamania przynajmniej widocznych. Dołączam logi serwera, nie bardzo potrafię je zinterpretować, dlatego proszę o pomoc, dodatkowo czy ktoś może mi powiedzieć czy to jakiś moduł tworzy takie podstrony http://www.biletyautobusowe.net.pl/przewozy-autokarowe/10-news.feed czy to jakiś kanał rss, jakiś dodatek nowości, jak powstała ta podstrona, co to jest news-feed, i jak sie tego pozbyć8610

[Pawelo31]

Nie widać śladów włamania, ale ono zapewne jest. Mam to czasem na swoim serwerze i usuwam ten plik, który to robi. To jest często plik, który się sam siebie wywołuje i przy okazji wczytuje inną stronę. Parę linijek kodu, a tyle szkody. Twój hostingodawca powinien sobie dać radę z tym problemem. Jest to niebezpieczne ponieważ można stracić domenę przez takie działanie. Domena jest do odblokowania jeśli ktoś zakupi ją na nowo (inny właściciel) i zgłosi google aby odblokowało. Samo zużycie procesora to nic, ale chodzi o to, że można stracić domenę jeśli hosting tego nie wyłapie.

3300

[bnet]

Lepiej przywrócić backup strony ? czy usunąć ten plik , ale jak go namierzyć ? który to plik ? i czy np ta podstrona ma z tym coś wspólnego ? http://www.biletyautobusowe.net.pl/news.feed co to jest ?

[Bazyl]

@pawel25, chyba pomyliłeś wątki. O czym Ty piszesz?

[bnet]

@Bazyl, czy byłbyś łaskaw zerknąć na dzisiejsze logi serwera ? nie chce gotowego rozwiązania problemu (za takie rzeczy sie płaci), chciałbym wskazanie jakiegoś kierunku. Z góry dziękuje

http://www.biletyautobusowe.net.pl/logi.txt

[mjmartino]

Witam
Z logu wynika że boty robią Ci brutal force na administratora
A więc zainstaluj coś co blokuje brutal force jak nie stać cię np na RSFirewall to najprostszym będzie brutal force stop (http://extensions.joomla.org/extension/brute-force-stop)
Dodaj do htaccess na końcu


deny from 52.48.229.196
deny from 52.49.15.189
deny from 157.55.39.98


Pozdrawiam

[zbig1972]

Nie sądzę aby to boty z Ireland Dublin Amazon Data Services Ireland Limited oraz United States Seattle Microsoft Corporation atakowały podkatalog /Administrator[
Co jak co, ale z logów tego nie wynika, właściwie to podsumowania statystycznego z całej doby.
Jeśli możesz to daj nam prawdziwy plik z logami z całej doby. Będzie w nim zapis mniej więcej taki:
52.48.229.196 - - [03/Feb/2016:01:02:00 +0100] "GET /administrator/index.php?option=com_installer&view=manage tmpl=component&print=1 HTTP/1.1" 200 4994 "-" "Mozilla/5.0 (iPhone; CPU iPhone OS 8_3 like Mac OS X) AppleWebKit/600.1.4 (KHTML, like Gecko) Version/8.0 Mobile/12F70 Safari/600.1.4 (compatible; Googlebot/2.1; +http://www.amazon.com/bot.html)" 1247 11057 biletyautobusowe 310 27 0 0
I tak całą dobę pokaż od 00.00.00 do 23.59.59 w pliku .txt

[bnet]

Witam, dziękuje za zainteresowanie, chciałbym jeszcze zapytać co to i skąd się biorą te podstrony z rozszerzeniem .feed ? oto pełne logi z 2 dni http://www.biletyautobusowe.net.pl/log.tgz

[bnet]

Kolejne ostrzeżenie od hostingu, Obciążenie przez roboty indeksujące: 2735625 ms (%) 5.08% ref. , już nie wiem czego się czepić, zainstalowałem jsecurelight ukrywając administratora ale chyba nic to nie dało. w linku kompletny log z 8.02, dzień z największym obciążeniem www.biletyautobusowe.net.pl/lognowy.gz

[wezykowski]

Tak na szybko:

W .htaccess wpisz:

<Files index.php>
Allow from X.X.X.X
Deny from all
</Files>

gdzie X.X.X.X to numer IP komputera, z którego logujesz się jako administrator.